CVE-2026-81675
KrytyczneCVSS 9.3Streszczenie
Punkt końcowy '/ws/apiprensa/getVideoUltimasSeccion' zawiera podatność na wstrzyknięcie SQL w parametrze id_seccion. Parametr jest bezpośrednio osadzany w złożonym zapytaniu SQL zawierającym grupowanie i sortowanie. Wstrzyknięcie składni SQL może zakłócić strukturę zapytania i spowodować błędy bazy danych, ujawniając wewnętrzną logikę zapytań.
Ocena ryzyka
Atakujący może manipulować logiką pobierania treści i uzyskać informacje o strukturze bazy danych, co może ułatwić dalsze ataki.
Rekomendacja
Zaimplementuj sanityzację danych wejściowych i użyj sparametryzowanych zapytań dla parametru id_seccion.
Oryginalny opis (angielski, źródło NVD)
The endpoint ‘/ws/apiprensa/getVideoUltimasSeccion’ contains an SQL injection vulnerability in the id_seccion parameter. The parameter is directly embedded in a complex SQL query that includes grouping and sorting operations. By injecting SQL syntax, an attacker can disrupt the query structure and cause database errors, exposing the internal logic of the queries. The complexity of the query increases the potential impact, as it could allow for broader manipulation of the content retrieval logic.