CVE-2026-34915
ŚrednieCVSS 6.1Streszczenie
Brak sanitizacji danych wejściowych w skrypcie zone-include.php w Revive Adserver 6.0.6 i wcześniejszych wersjach może umożliwić użytkownikowi o niskich uprawnieniach wykorzystanie parametru clientid do przeprowadzenia ataków typu blind SQL injection. Wprowadzono poprawki w sanitizacji danych wejściowych, aby zapewnić prawidłową walidację wszystkich przetwarzanych parametrów.
Ocena ryzyka
Organizacja może być narażona na ataki SQL injection, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Użytkownicy o niskich uprawnieniach mogą wykorzystać tę podatność do eskalacji swoich uprawnień.
Rekomendacja
Zaleca się aktualizację Revive Adserver do najnowszej wersji, aby skorzystać z poprawionej sanitizacji danych wejściowych. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji w celu identyfikacji innych potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
A missing sanitisation of user input in the zone-include.php script of Revive Adserver 6.0.6 and earlier could allow a low‑privileged user to exploit the clientid parameter to perform blind SQL injection attacks. Input sanitisation has been improved to ensure that all parameters processed by the script are properly validated.