CVE-2026-72599
KrytyczneCVSS 9.8Streszczenie
Podatność na wstrzykiwanie SQL w e107 2.4.0. Nieuwierzytelniony atakujący może wykonywać dowolne zapytania SQL poprzez parametr ID strony wiadomości. Parametr jest konkatenowany bez escapowania do klauzuli WHERE.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać, zmodyfikować lub usunąć całą zawartość bazy danych, w tym dane uwierzytelniające administratora, co prowadzi do całkowitej kompromitacji.
Rekomendacja
Zaktualizuj e107 do wersji, która poprawnie escapuje parametry SQL. Dodatkowo stosuj zapytania parametryzowane.
Oryginalny opis (angielski, źródło NVD)
An SQL injection vulnerability in e107 2.4.0 allows unauthenticated remote attackers to execute arbitrary SQL via the news item page ID parameter. The parameter is concatenated without escaping into a SQL WHERE clause. An unauthenticated attacker can read, modify, or delete all database contents including administrator credentials.