CVE-2026-50636
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Metody API RemoteControl invite_participants i remind_participants przekazują tablicę tokenów dostarczoną przez wywołującego do funkcji TokenDynamic::findUninvited(), która łączy wartości bez parametryzacji lub walidacji wejścia w klauzuli SQL. Zdalny, uwierzytelniony atakujący może wstrzyknąć złośliwy element tablicy, co prowadzi do podatności na SQL injection.
Ocena ryzyka
Atakujący może uzyskać dostęp do dowolnych danych w bazie, w tym haszy haseł administratorów oraz danych osobowych, a także przeprowadzać operacje zapisu, co może prowadzić do przejęcia konta administratora lub zniszczenia danych.
Rekomendacja
Zaleca się wyłączenie interfejsu RemoteControl oraz wprowadzenie odpowiednich zabezpieczeń, takich jak walidacja wejścia i użycie parametryzowanych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The RemoteControl API methods invite_participants and remind_participants pass a caller-supplied token-ID array into TokenDynamic::findUninvited(), which concatenates the values directly into a tid IN ('...') SQL clause without parameterization or input validation. A remote, authenticated attacker holding the tokens/update permission on a survey can inject a crafted array element to perform SQL injection. Because LimeSurvey configures its PDO connection with emulated prepared statements (emulatePrepare = true) and does not disable MySQL multi-statements, the injection supports stacked queries: the attacker can append arbitrary additional statements (INSERT/UPDATE/DELETE/DROP/CREATE) after the original SELECT. This permits both arbitrary read of any data in the database, such as administrator bcrypt password hashes (lime_users), survey response PII, session records, and global settings, all recoverable via a SLEEP() time-based blind oracle, and arbitrary write/destruction of that data, including directly overwriting the administrator password hash for immediate account takeover or dropping/truncating tables. Reads and writes extend to any schema the application's database user can access. The RemoteControl interface (RPCInterface = json/xml) must be enabled, which is not the default.