CVE-2026-50769
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Aplikacja CRM+ od Brainformatik w wersjach do 2025.6 włącznie jest podatna na atak SQL Injection (time-based). Endpoint check conflict (index.php?module=Appointments&action=CheckConflictOfDates&ajaxSkipHeader=true) używany do sprawdzania konfliktów w kalendarzu użytkownika jest podatny na wstrzykiwanie SQL, co pozwala atakującemu na wykonanie dowolnego kodu.
Ocena ryzyka
Atakujący może wykorzystać podatność do wykonania dowolnych zapytań SQL, co może prowadzić do kradzieży danych, modyfikacji bazy danych lub całkowitego przejęcia systemu.
Rekomendacja
Zaktualizuj CRM+ do wersji nowszej niż 2025.6, jeśli dostępna jest poprawka. Dodatkowo zastosuj parametryzowane zapytania SQL i walidację danych wejściowych w endpointach.
Oryginalny opis (angielski, źródło NVD)
The CRM+ application before and including version 2025.6 from Brainformatik is vulnerable to SQL Injection (time-based) vulnerability. The check conflict endpoint index.php?module=Appointments&action=CheckConflictOfDates&ajaxSkipHeader=true which is used to check any conflicts for user calendar is vulnerable to SQL injection allowing an attacker to execute arbitrary code.