CVE-2026-71622
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność na iniekcję SQL w Zhao-github APiAdmin v.5.0.1 pozwala zdalnemu atakującemu uzyskać wrażliwe informacje poprzez komponent User.php.
Ocena ryzyka
Iniekcja SQL może umożliwić atakującemu odczyt, modyfikację lub usunięcie danych w bazie danych, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj APiAdmin do najnowszej wersji i sprawdź, czy problem został naprawiony.
Inne podatności w APiAdmin
Zobacz wszystkie- CVE-2026-88397Nieznane
ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na iniekcję SQL w punkcie końcowym user-list GET /admin/User/getUsers poprzez parametr gid.
- CVE-2026-88396Nieznane
ApiAdmin w wersji 5.0 i wcześniejszych jest podatny na Directory Traversal. Endpoint uploadu plików POST /admin/Index/upload w ApiAdmin przyjmuje rozszerzenie przesłanego pliku bez żadnej walidacji (brak białej listy, czarnej listy ani sprawdzania zawartości), a funkcja move_uploaded_file() umieszcza plik w katalogu public/upload/Ymd/ dostępnym przez WWW. Każdy zalogowany administrator może przesłać plik .php i uzyskać do niego bezpośredni dostęp przez HTTP, osiągając zdalne wykonanie kodu na serwerze.
- CVE-2026-71620Wysokie
Podatność na przesyłanie plików w Zhao-github ApiAdmin v.5.0.1 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany plik .php.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in Zhao-github APiAdmin v.5.0.1 allows a remote attacker to obtain sensitive information via the User.php component
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS