CVE-2026-57309
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W CMS Windu wykryto podatność na ślepą iniekcję SQL (Blind SQL Injection). Niezautoryzowany atakujący zdalnie może wstrzyknąć składnię SQL do ścieżki URL w nagłówku HTTP. Podatność potwierdzono w wersji 4.1, ale może dotyczyć także innych wersji.
Ocena ryzyka
Atakujący może wykraść dane z bazy danych, w tym poufne informacje użytkowników, bez konieczności uwierzytelnienia, co stanowi poważne zagrożenie dla poufności i integralności danych.
Rekomendacja
Skontaktuj się z producentem w celu uzyskania łatki lub rozważ migrację do innego CMS-a, jeśli producent nie odpowiada. Tymczasowo ogranicz dostęp do aplikacji za pomocą zapory sieciowej.
Oryginalny opis (angielski, źródło NVD)
A Blind SQL injection vulnerability has been identified in Windu CMS. A remote unauthenticated attacker is able to inject SQL syntax into URL path in HTTP header resulting in Blind SQL Injection. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version 4.1 but may also affect other versions.