CVE-2026-72550
KrytyczneCVSS 9.8Streszczenie
Podatność na wstrzykiwanie SQL w Friendica do gałęzi 2026.08-dev. Nieuwierzytelniony atakujący może wykonywać dowolne zapytania SQL poprzez parametr kolejności w widoku zdjęć. Parametr jest konkatenowany bez escapowania do zapytania SHOW COLUMNS, co umożliwia wstrzykiwanie wielu zapytań.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać, zmodyfikować lub usunąć całą bazę danych, co prowadzi do całkowitej utraty danych i kompromitacji systemu.
Rekomendacja
Zaktualizuj Friendica do wersji, która poprawnie escapuje parametry. Stosuj zapytania parametryzowane zamiast bezpośredniego konkatenowania.
Oryginalny opis (angielski, źródło NVD)
An SQL injection vulnerability in Friendica through the 2026.08-dev branch allows unauthenticated remote attackers to execute arbitrary SQL statements via the photo-view order parameter. The parameter is concatenated unescaped into a SHOW COLUMNS query via a bare PDO::query() call, enabling stacked statement injection. An unauthenticated attacker can read, modify, or delete the entire database.