CVE-2026-55872

WysokieCVSS 8.7

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

GYM One to otwarte oprogramowanie do zarządzania siłownią dla centrów fitness, trenerów personalnych i klubów sportowych. W wersjach przed 1.4.1 plik admin/users/index.php renderuje przechowywane pola profilu firstname, lastname i email na liście użytkowników administratora bez kodowania wyjścia HTML. Atakujący, który może zapisać wartości w tych polach, może spowodować wykonanie treści w przeglądarce administratora, gdy administrator odwiedzi /admin/users/. Trwały skrypt może uzyskać dostęp do danych sesji administratora lub wykonać działania z uprawnieniami administratora, dopóki przechowywany rekord nie zostanie usunięty. Problem naprawiono w wersji 1.4.1.

Ocena ryzyka

Atakujący może wykonać dowolny skrypt w przeglądarce administratora, przejąć sesję i wykonać działania administracyjne, co może prowadzić do pełnego przejęcia aplikacji.

Rekomendacja

Należy zaktualizować GYM One do wersji 1.4.1 lub nowszej; do czasu aktualizacji zaleca się weryfikację i czyszczenie danych wejściowych oraz monitorowanie nietypowych działań administratorów.

Inne podatności w GYM One

CVE-2026-55871Średnie
GYM One to oprogramowanie open source do zarządzania siłownią. W wersjach przed 1.4.1 plik admin/users/index.php łączy parametry GET search_name i search_email z zapytaniem o listę użytkowników oraz zapytaniem COUNT używanym do paginacji bez przygotowanych instrukcji. Uwierzytelniony administrator może wstrzyknąć SQL przez jedno z pól wyszukiwania, aby odczytać dane z dowolnych tabel, w tym informacje o użytkownikach i hashe haseł. W zależności od uprawnień bazy danych ta sama injekcja może również pozwolić na zapis do systemu plików.

Oryginalny opis (angielski, źródło NVD)

GYM One is open-source gym management software for fitness centers, personal trainers, and sports clubs. Prior to 1.4.1, GYM One's admin/users/index.php renders the stored firstname, lastname, and email profile fields into the administrator user list without HTML output encoding. An attacker who can store values in those fields can cause content to execute in an administrator's browser when the administrator visits /admin/users/. The persistent script can access administrator-session data or perform actions with the administrator's privileges until the stored record is removed. This issue is fixed in version 1.4.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS