CVE-2026-58492
KrytyczneCVSS 9.2Streszczenie
Wtyczka bazy danych dla Grav CMS przed wersją 1.2.0 zawiera podatność na wstrzykiwanie SQL w metodzie PDO::tableExists. Nazwa tabeli przekazywana przez kod wtyczki lub programisty jest bezpośrednio interpolowana do surowego zapytania SQL bez sanityzacji, co umożliwia wykonanie dowolnego kodu SQL.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych operacji na bazie danych, takich jak odczyt, modyfikacja lub usunięcie danych, co może prowadzić do naruszenia poufności i integralności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę grav-plugin-database do wersji 1.2.0 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
grav-plugin-database is the database plugin for Grav CMS. Prior to 1.2.0, the PDO::tableExists method interpolates its table argument directly into a raw SQL query string without sanitization, escaping, quoting, or whitelisting, allowing attacker-controlled table names passed by consuming plugin or developer code to execute arbitrary SQL against the configured database. This issue is fixed in version 1.2.0.