CVE-2026-50636
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w LimeSurvey w metodach API RemoteControl (invite_participants i remind_participants). Atakujący z uprawnieniami tokens/update może wstrzyknąć zapytania SQL przez niesparametryzowane dane wejściowe. Przy włączonym RPCInterface i emulowanych prepared statements możliwe jest odczytanie haseł administratora i innych danych oraz modyfikacja bazy danych.
Ocena ryzyka
Ryzyko całkowitego przejęcia konta administratora, wycieku danych osobowych respondentów i zniszczenia bazy danych. Atak może być przeprowadzony zdalnie przez uwierzytelnionego użytkownika.
Rekomendacja
Wyłącz interfejs RemoteControl (RPCInterface), jeśli nie jest wymagany. Zaktualizuj LimeSurvey do wersji z poprawką. Wyłącz emulowane prepared statements w konfiguracji PDO.
Inne podatności w LimeSurvey
Zobacz wszystkie- CVE-2025-56422Krytyczne
Podatność deserializacji w LimeSurvey przed wersją 6.15.0+250623 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-65931Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na nieprawidłową autoryzację w punkcie końcowym tworzenia wpisów menu ankiety. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu ustawień globalnych może bezpośrednio wywołać POST /index.php/admin/menuentries/sa/create i tworzyć nowe wpisy menu bez wymaganego uprawnienia settings:update. Atakujący może również przesłać identyfikatory menu, które normalny interfejs ogranicza dla nie-superadministratorów, co umożliwia nieautoryzowane zmiany w rekordach nawigacji administracyjnej.
- CVE-2026-65930Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na przechowywany atak XSS w oknie dialogowym pól zastępczych używanym przez administratora edytora pytań. Problem dotyczy wersji 7.0.5.
- CVE-2026-63360Wysokie
LimeSurvey Community Edition 7.0.5+260623 zawiera uwierzytelnioną, odbitą podatność Cross-Site Scripting w punkcie końcowym potwierdzania aktywacji użytkownika. Parametr 'action' jest kopiowany do odpowiedzi i wstawiany do atrybutu ukrytego pola bez kodowania atrybutów HTML.
- CVE-2026-16809Wysokie
LimeSurvey Community Edition 7.0.5 zawiera podatność na trwałe Cross-Site Scripting w procesie tworzenia kwot w ankiecie. Uwierzytelniony użytkownik o niskich uprawnieniach, który może tworzyć i zarządzać własnymi ankietami, może przechowywać złośliwy JavaScript w wiadomości kwoty.
- CVE-2026-15973Wysokie
LimeSurvey Community Edition 7.0.5 zawiera podatność na trwały cross-site scripting (XSS) w panelu administracyjnym Survey Menu Entries. Uwierzytelniony użytkownik z uprawnieniem global settings:read może utworzyć wpis menu ankiety zawierający dane kontrolowane przez atakującego. Wartość jest przechowywana w polu surveymenu_entries.data i później wstawiana do atrybutu title w pojedynczych cudzysłowach bez odpowiedniego kodowania.
- CVE-2026-18403Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na wstrzykiwanie SQL w przepływie pracy Centralnej Bazy Uczestników (CPDB), która kopiuje tokeny uczestników ankiety do centralnej listy uczestników. Podatność wymaga uwierzytelnienia.
- CVE-2026-63361Wysokie
LimeSurvey Community Edition 7.0.5 zawiera uwierzytelnioną, odzwierciedloną podatność na cross-site scripting w punkcie końcowym edytora HTML. Parametry text i name są przepuszczane przez sanityzator czarnej listy, a następnie renderowane bez odpowiedniego kodowania wyjścia zależnego od kontekstu.
- CVE-2026-63107Wysokie
LimeSurvey do wersji 6.17.10 i 7.0.4 zawiera podatność SSRF w REST API endpointzie szablonów ankiet. Uwierzytelnieni użytkownicy mogą manipulować nagłówkiem Host, powodując wysyłanie przez serwer dowolnych żądań HTTP, co umożliwia dostęp do wewnętrznych usług sieciowych i punktów metadanych chmury.
- CVE-2026-50635Wysokie
LimeSurvey konstruuje linki do resetowania hasła na podstawie nagłówka HTTP Host dostarczonego przez klienta bez jego walidacji. Opcjonalna lista dozwolonych hostów (allowedHosts) jest niezdefiniowana w domyślnej (i udokumentowanej) konfiguracji, więc LSHttpRequest::checkIsAllowedHost() nie wykonuje żadnej operacji. Zdalny, nieuwierzytelniony atakujący, który wyśle żądanie zapomnianego hasła dla znanego konta (wymagające tylko nazwy użytkownika i e-maila ofiary) ze sfałszowanym nagłówkiem Host, powoduje, że LimeSurvey wysyła e-mailem link resetujący, którego host jest kontrolowany przez atakującego, a który zawiera prawdziwy klucz weryfikacyjny. Gdy odbiorca lub automatyczny skaner linków w zabezpieczeniach poczty kliknie link, prawidłowy token resetu zostaje ujawniony atakującemu, który może go użyć wobec legalnego hosta, aby ustawić nowe hasło i przejąć konto.
Oryginalny opis (angielski, źródło NVD)
The RemoteControl API methods invite_participants and remind_participants pass a caller-supplied token-ID array into TokenDynamic::findUninvited(), which concatenates the values directly into a tid IN ('...') SQL clause without parameterization or input validation. A remote, authenticated attacker holding the tokens/update permission on a survey can inject a crafted array element to perform SQL injection. Because LimeSurvey configures its PDO connection with emulated prepared statements (emulatePrepare = true) and does not disable MySQL multi-statements, the injection supports stacked queries: the attacker can append arbitrary additional statements (INSERT/UPDATE/DELETE/DROP/CREATE) after the original SELECT. This permits both arbitrary read of any data in the database, such as administrator bcrypt password hashes (lime_users), survey response PII, session records, and global settings, all recoverable via a SLEEP() time-based blind oracle, and arbitrary write/destruction of that data, including directly overwriting the administrator password hash for immediate account takeover or dropping/truncating tables. Reads and writes extend to any schema the application's database user can access. The RemoteControl interface (RPCInterface = json/xml) must be enabled, which is not the default.