CVE-2026-38158
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w komponencie /ureport/datasource/previewData systemu ureport w wersji 2.2.9 umożliwia atakującym wstrzykiwanie złośliwych zapytań SQL. Luka ta pozwala na nieautoryzowany dostęp do wrażliwych danych przechowywanych w bazie danych.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć poufne informacje z bazy danych, co prowadzi do naruszenia poufności i integralności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować system ureport do najnowszej dostępnej wersji, która zawiera poprawkę dla tej luki. Dodatkowo zaleca się stosowanie walidacji wejścia i przygotowanych zapytań (prepared statements) w celu zapobiegania atakom SQL Injection.
Inne podatności w ureport
Zobacz wszystkie- CVE-2023-24188Krytyczne
W oprogramowaniu ureport w wersji 2.2.9 odkryto podatność na przemieszczanie się po katalogach w funkcji usuwania plików. Umożliwia ona atakującemu usunięcie dowolnych plików w systemie.
- CVE-2023-24187Wysokie
Podatność XML External Entity (XXE) w ureport v2.2.9 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku XML do /ureport/designer/saveReportFile.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in the /ureport/datasource/previewData component of ureport v2.2.9 allows attackers to access sensitive database information via crafted SQL statements.