CVE-2026-81677

WysokieCVSS 8.8

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Endpoint '/ws/apiprensa/getVideo' jest podatny na atak SQL injection z powodu nieprawidłowej walidacji parametru GET `id_ambito`. Atakujący może wstrzyknąć składnię SQL, która łamie strukturę zapytania MariaDB, powodując błędy składniowe i ujawnienie komunikatów błędów bazy danych przez PDOException. Potwierdza to, że dane wejściowe użytkownika są bezpośrednio włączane do zapytań SQL bez odpowiedniego oczyszczania lub użycia prepared statements.

Ocena ryzyka

Atakujący może wykorzystać błąd SQL injection do manipulacji zapytaniami, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.

Rekomendacja

Zastosuj prepared statements lub parametryzację zapytań oraz walidację danych wejściowych dla parametru `id_ambito`.

Inne podatności w Unknown (API endpoint)

CVE-2026-81676Wysokie
Endpoint '/ws/apitribuna/ultimosVideos' ma podatność, w której parametr `limit_videos` jest bezpośrednio konkatenowany do zapytania SQL MariaDB bez odpowiedniego oczyszczania lub parametryzacji. Poprzez wstrzyknięcie składni SQL do tego parametru, zdalny atakujący może powodować błędy składniowe SQL i potencjalnie manipulować zapytaniami backendu. Problem prowadzi do błędu SQL injection i ujawnia wewnętrzne komunikaty błędów bazy danych oraz ślady stosu, co ujawnia szczegóły implementacji systemu.

Oryginalny opis (angielski, źródło NVD)

The ‘/ws/apiprensa/getVideo’ endpoint is vulnerable to SQL injection due to improper validation of the GET parameter `id_ambito`. An attacker can inject SQL syntax that breaks the underlying structure of the MariaDB query, resulting in syntax errors and the exposure of database error messages via PDOException. This confirms that user input is being incorporated directly into SQL statements without proper sanitization or the use of prepared statements.