CVE-2026-81676

WysokieCVSS 8.8

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Endpoint '/ws/apitribuna/ultimosVideos' ma podatność, w której parametr `limit_videos` jest bezpośrednio konkatenowany do zapytania SQL MariaDB bez odpowiedniego oczyszczania lub parametryzacji. Poprzez wstrzyknięcie składni SQL do tego parametru, zdalny atakujący może powodować błędy składniowe SQL i potencjalnie manipulować zapytaniami backendu. Problem prowadzi do błędu SQL injection i ujawnia wewnętrzne komunikaty błędów bazy danych oraz ślady stosu, co ujawnia szczegóły implementacji systemu.

Ocena ryzyka

Atakujący może wykorzystać SQL injection do manipulacji zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych lub ujawnienia wrażliwych informacji o systemie.

Rekomendacja

Zastosuj prepared statements lub parametryzację zapytań oraz walidację danych wejściowych dla parametru `limit_videos`.

Inne podatności w Unknown (API endpoint)

CVE-2026-81677Wysokie
Endpoint '/ws/apiprensa/getVideo' jest podatny na atak SQL injection z powodu nieprawidłowej walidacji parametru GET `id_ambito`. Atakujący może wstrzyknąć składnię SQL, która łamie strukturę zapytania MariaDB, powodując błędy składniowe i ujawnienie komunikatów błędów bazy danych przez PDOException. Potwierdza to, że dane wejściowe użytkownika są bezpośrednio włączane do zapytań SQL bez odpowiedniego oczyszczania lub użycia prepared statements.

Oryginalny opis (angielski, źródło NVD)

A vulnerability in the endpoint ‘/ws/apitribuna/ultimosVideos’ where the `limit_videos` parameter is directly concatenated into a MariaDB SQL query without proper sanitization or parameterization. By injecting SQL syntax into this parameter, a remote attacker can cause SQL syntax errors and potentially manipulate backend queries. The issue results in an error-based SQL injection and exposes internal database error messages and stack traces, revealing implementation details of the backend system.