CVE-2026-81672
KrytyczneCVSS 9.3Streszczenie
Podatność na wstrzyknięcie SQL w punkcie końcowym '/ws/apiprensa/getVideoSubcanal' z powodu nieprawidłowego obsługiwania parametru id_video. Aplikacja nie sanityzuje danych wejściowych przed konstruowaniem zapytań SQL, co powoduje błędy wykonania przy złośliwych danych. Podatność ujawnia wewnętrzne ścieżki plików i pełne ślady stosu przez moduł obsługi błędów frameworka Slim, co zwiększa jej dotkliwość.
Ocena ryzyka
Połączenie ujawnienia informacji i wstrzyknięcia SQL może umożliwić atakującemu uzyskanie wrażliwych danych i dalszą eksploatację.
Rekomendacja
Sanityzuj dane wejściowe dla parametru id_video i skonfiguruj framework Slim tak, aby nie ujawniał szczegółowych błędów.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the ‘/ws/apiprensa/getVideoSubcanal’ endpoint due to improper handling of the id_video parameter. The application does not sanitize input before constructing SQL queries, which results in execution errors when malicious input is provided. The vulnerability exposes internal file paths and complete stack traces through the Slim framework’s error handler, which increases the severity due to the combination of information disclosure and SQL injection.