CVE-2026-71808

WysokieCVSS 8.8

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 10/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Podatność na iniekcję SQL w Siam Ordering (siam-server) 1.0.0 pozwala zdalnym uwierzytelnionym atakującym na wykonanie dowolnych poleceń SQL poprzez konkatenację stringów ${} w AdminMapper.java oraz w wielu innych plikach Mapper (w tym MerchantWithdrawRecordMapper.java i MemberWithdrawRecordMapper.java).

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do danych, modyfikować je lub usunąć, co może prowadzić do naruszenia integralności i poufności systemu.

Rekomendacja

Zaktualizuj siam-server do wersji, która używa sparametryzowanych zapytań lub przygotowanych statementów, oraz przeprowadź audyt kodu pod kątem podobnych podatności.

Inne podatności w Siam Ordering

CVE-2026-71809Wysokie
W Siam Ordering (siam-server) w wersji 1.0.0 występuje podatność polegająca na obejściu uwierzytelniania poprzez zakodowany na stałe główny kod weryfikacyjny. Zdalny nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, sprzedawca lub administrator.

Oryginalny opis (angielski, źródło NVD)

A SQL Injection vulnerability in Siam Ordering (siam-server) 1.0.0 allows remote authenticated attackers to execute arbitrary SQL commands via the ${} string concatenation in AdminMapper.java and multiple other Mapper files (including MerchantWithdrawRecordMapper.java and MemberWithdrawRecordMapper.java).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS