CVE-2026-40834
WysokieStreszczenie
W pliku dash_layout.php w funkcji saveDashboardLayout występuje podatność na zdalny atak SQL Injection, która może być wykorzystana przez nisko uprzywilejowanego atakującego. Błąd polega na niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL INSERT, co pozwala na odczyt całej bazy danych oraz wstawianie wpisów do niekrytycznej tabeli.
Ocena ryzyka
Podatność ta może prowadzić do całkowitej utraty poufności danych oraz częściowej utraty integralności. Atakujący może uzyskać dostęp do wrażliwych informacji w bazie danych.
Rekomendacja
Zaleca się wprowadzenie odpowiednich mechanizmów walidacji i sanitizacji danych wejściowych w funkcji saveDashboardLayout, aby zapobiec atakom SQL Injection. Należy również monitorować i ograniczać dostęp do krytycznych zasobów bazy danych.
Oryginalny opis (angielski, źródło NVD)
An low privileged remote attacker can exploit an unauthenticated SQL Injection vulnerability in the dash_layout.php files saveDashboardLayout function due to improper neutralization of special elements in a SQL INSERT command allowing for reading the whole database and inserting entries into a non critical table. This can result in a total loss of confidentiality and some loss of integrity.