CVE-2026-34104
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 — wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w systemie Guardian language-system pozwala uwierzytelnionemu atakującemu na wstrzyknięcie kodu SQL poprzez parametr GET 'name' w pliku designer.php. Brak sanityzacji danych wejściowych umożliwia wykonanie dowolnych zapytań SQL i ekstrakcję zawartości bazy danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych przechowywanych w bazie, takich jak hasła, dane użytkowników czy konfiguracja systemu, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować system Guardian language-system do najnowszej wersji zawierającej poprawkę. Jeśli nie jest dostępna, należy zastosować parametryzowane zapytania SQL lub walidację wejścia dla parametru 'name'.
Oryginalny opis (angielski, źródło NVD)
Guardian language-system passes the name GET parameter directly into an unsanitized SQL query in designer.php (line 124): SELECT * FROM complex WHERE name='\".$_GET['name'].\"'. An authenticated attacker can perform error-based SQL injection to extract database contents.