CVE-2026-38567
KrytyczneStreszczenie
HireFlow v1.2 jest podatny na atak typu SQL injection w punktach końcowych /login i /search. Wprowadzone przez użytkownika dane są bezpośrednio łączone z zapytaniami SQL bez parametryzacji.
Ocena ryzyka
Nieautoryzowany atakujący może obejść uwierzytelnianie, podając spreparowaną nazwę użytkownika lub wydobyć pełną zawartość bazy danych, w tym dane logowania użytkowników.
Rekomendacja
Zaleca się wprowadzenie parametryzacji zapytań SQL oraz przegląd i zabezpieczenie punktów końcowych /login i /search przed potencjalnymi atakami.
Inne podatności w HireFlow v1.2
Zobacz wszystkie- CVE-2026-38568Wysokie
HireFlow v1.2 jest podatny na błędne zarządzanie dostępem. Aplikacja nie wymusza autoryzacji na poziomie obiektów dla punktów końcowych /candidate/<id> oraz /interview/<id>, co pozwala na dostęp do danych innych użytkowników.
- CVE-2026-38566Wysokie
HireFlow w wersji 1.2 nie implementuje walidacji tokenów CSRF na żadnym z punktów końcowych zmieniających stan. Wszystkie formularze są podatne na ataki CSRF, co pozwala atakującemu na zmianę hasła ofiary, usunięcie rekordów lub wstrzyknięcie dowolnych danych.
- CVE-2026-45336Krytyczne
HireFlow w wersji 1.2 i wcześniejszych używa zakodowanego na stałe klucza secret_key Flask do podpisywania ciasteczek sesji. Znając tę wartość (dostępną publicznie w kodzie źródłowym), nieuwierzytelniony atakujący może sfałszować ciasteczka z rolą admin i dowolnym user_id, co pozwala ominąć uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
HireFlow v1.2 is vulnerable to SQL injection in the /login and /search endpoints. User-supplied input is concatenated directly into SQL queries without parameterization. An unauthenticated attacker can bypass authentication by supplying a crafted username (e.g. admin'--) or extract the full contents of the database including user credentials via UNION-based injection at the /search endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS