CVE-2026-84111
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Chanjet CRM do wersji 20260707 stwierdzono podatność w pliku jxf_dump_table.php. Manipulacja argumentem gblOrgID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Podatność umożliwia zdalne wstrzyknięcie SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, wycieku danych lub ich modyfikacji.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub tymczasowych zabezpieczeń, takich jak filtrowanie danych wejściowych, oraz kontakt z producentem w celu uzyskania oficjalnej poprawki.
Inne podatności w Chanjet CRM
Zobacz wszystkie- CVE-2021-48008Wysokie
Chanjet CRM zawiera nieuwierzytelnioną podatność SQL injection, która pozwala zdalnym atakującym na wykonanie dowolnych zapytań SQL poprzez manipulację parametrem site_id w punkcie końcowym webservice. Atakujący mogą wykorzystać brak sanityzacji danych wejściowych, stosując techniki UNION, aby wyodrębnić wrażliwe dane z bazy.
- CVE-2026-11456Wysokie
W systemie Chanjet CRM 1.0 stwierdzono podatność na iniekcję SQL w pliku /tools/jxf_dump_systable.php poprzez manipulację argumentem gblOrgID w komponencie HTTP GET Request Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Chanjet CRM up to 20260707. This issue affects some unknown processing of the file jxf_dump_table.php. This manipulation of the argument gblOrgID causes sql injection. Remote exploitation of the attack is possible. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS