CVE-2026-75330
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Interfejs front-end /superdiamond/preview/{projectCode}/{module}/{type} w super-diamond-server <= 1.3.3 jest podatny na wstrzykiwanie SQL. Parametr module jest bezpośrednio łączony z klauzulą SQL IN przez StringUtils.split() i konkatenację stringów bez parametryzacji i wiązania.
Ocena ryzyka
Atakujący może wykorzystać wstrzykiwanie SQL do manipulowania zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.
Rekomendacja
Zaleca się stosowanie sparametryzowanych zapytań lub przygotowanych wyrażeń dla parametru module oraz walidację danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
The front-end interface /superdiamond/preview/{projectCode}/{module}/{type} of super-diamond-server <= 1.3.3 is vulnerable to SQL injection. The module parameter is directly concatenated into the SQL IN clause through StringUtils.split() and string concatenation without being parameterized and bound.