CVE-2026-48236
WysokieStreszczenie
Open ISES Tickets przed wersją 3.44.2 zawiera podatność na wstrzyknięcie SQL w pliku db_loader.php, gdzie wiele parametrów POST jest łączonych w argumenty połączenia mysqli. Atakujący z odpowiednimi uprawnieniami mogą modyfikować zapytania, co pozwala na odczyt, modyfikację lub zniszczenie zawartości bazy danych.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla integralności danych w bazie, umożliwiając atakującym manipulację danymi w systemie. Może to prowadzić do utraty danych lub ich nieautoryzowanej modyfikacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.44.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć odpowiednie mechanizmy sanitizacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a SQL injection vulnerability in db_loader.php where the multiple POST parameters (ticketsdb, ticketshost, ticketsuser, ticketspassword) are concatenated into mysqli connection arguments and dynamic SQL operating against an attacker-controlled database without sanitization. Authenticated attackers can craft requests that alter query semantics to read, modify, or destroy database contents.