CVE-2026-75330

KrytyczneCVSS 9.8

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 31/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Interfejs front-end /superdiamond/preview/{projectCode}/{module}/{type} w super-diamond-server <= 1.3.3 jest podatny na wstrzykiwanie SQL. Parametr module jest bezpośrednio łączony z klauzulą SQL IN przez StringUtils.split() i konkatenację stringów bez parametryzacji i wiązania.

Ocena ryzyka

Atakujący może wykorzystać wstrzykiwanie SQL do manipulowania zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.

Rekomendacja

Zaleca się stosowanie sparametryzowanych zapytań lub przygotowanych wyrażeń dla parametru module oraz walidację danych wejściowych.

Inne podatności w super-diamond-server

CVE-2026-75329Krytyczne
Usługa dystrybucji konfiguracji Netty (port 8283) w super-diamond-server <= 1.3.3 nie ma mechanizmu uwierzytelniania. Atakujący mogą bezpośrednio uzyskać pełną konfigurację dowolnego projektu (w tym hasła baz danych, klucze API itp.) wysyłając żądanie TCP bez żadnych poświadczeń.

Oryginalny opis (angielski, źródło NVD)

The front-end interface /superdiamond/preview/{projectCode}/{module}/{type} of super-diamond-server <= 1.3.3 is vulnerable to SQL injection. The module parameter is directly concatenated into the SQL IN clause through StringUtils.split() and string concatenation without being parameterized and bound.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS