CVE-2026-55871

ŚrednieCVSS 6.5

Opublikowano: 15/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

GYM One to oprogramowanie open source do zarządzania siłownią. W wersjach przed 1.4.1 plik admin/users/index.php łączy parametry GET search_name i search_email z zapytaniem o listę użytkowników oraz zapytaniem COUNT używanym do paginacji bez przygotowanych instrukcji. Uwierzytelniony administrator może wstrzyknąć SQL przez jedno z pól wyszukiwania, aby odczytać dane z dowolnych tabel, w tym informacje o użytkownikach i hashe haseł. W zależności od uprawnień bazy danych ta sama injekcja może również pozwolić na zapis do systemu plików.

Ocena ryzyka

Atakujący z uprawnieniami administratora może odczytać wrażliwe dane, w tym hashe haseł, a potencjalnie także zapisywać pliki na serwerze. Może to prowadzić do pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj GYM One do wersji 1.4.1 lub nowszej, która naprawia tę podatność.

Inne podatności w GYM One

CVE-2026-55872Wysokie
GYM One to otwarte oprogramowanie do zarządzania siłownią dla centrów fitness, trenerów personalnych i klubów sportowych. W wersjach przed 1.4.1 plik admin/users/index.php renderuje przechowywane pola profilu firstname, lastname i email na liście użytkowników administratora bez kodowania wyjścia HTML. Atakujący, który może zapisać wartości w tych polach, może spowodować wykonanie treści w przeglądarce administratora, gdy administrator odwiedzi /admin/users/. Trwały skrypt może uzyskać dostęp do danych sesji administratora lub wykonać działania z uprawnieniami administratora, dopóki przechowywany rekord nie zostanie usunięty. Problem naprawiono w wersji 1.4.1.

Oryginalny opis (angielski, źródło NVD)

GYM One is open-source gym management software for fitness centers, personal trainers, and sports clubs. Prior to 1.4.1, GYM One's admin/users/index.php concatenates the search_name and search_email GET parameters into both the user-list query and the COUNT query used for pagination without prepared statements. An authenticated administrator can inject SQL through either search field to read data from arbitrary tables, including user information and password hashes. Depending on database permissions, the same injection may also permit filesystem writes. This issue is fixed in version 1.4.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS