CVE-2026-48235
WysokieStreszczenie
Open ISES Tickets przed wersją 3.44.2 zawiera podatność na wstrzykiwanie SQL w pliku incs/remotes.inc.php. Wartości takie jak szerokość i długość geograficzna, znak wywoławczy, prędkość, wysokość oraz znacznik czasu są łączone w instrukcjach UPDATE i INSERT bez odpowiedniej sanitizacji.
Ocena ryzyka
Atakujący, który zdoła skompromitować lub podszyć się pod zdalny punkt GPS, może wstrzyknąć SQL, co pozwala na manipulację lokalizacją, śladami i tabelami przypisań, co stwarza poważne zagrożenie dla integralności danych.
Rekomendacja
Zaleca się aktualizację do wersji 3.44.2 lub nowszej oraz wdrożenie odpowiednich mechanizmów sanitizacji danych wejściowych z zewnętrznych źródeł.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a SQL injection vulnerability in incs/remotes.inc.php where latitude, longitude, callsign, mph, altitude, and timestamp values parsed from external GPS tracking service XML/JSON responses (InstaMapper and Google Latitude integration) are concatenated into UPDATE and INSERT statements without sanitization. An attacker able to compromise or impersonate the remote GPS tracker endpoint can inject SQL to manipulate the responder location, tracks, and assignment tables.