CVE-2026-86170
ŚrednieCVSS 6.3Streszczenie
W systemie DefaultFuction CRM 1.0.0 wykryto podatność na iniekcję SQL w pliku /modules/orders/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia kodu SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego przejęcia kontroli nad bazą danych, kradzieży lub modyfikacji danych oraz potencjalną eskalację uprawnień w systemie.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek lub aktualizacji systemu CRM, a także walidację i sanityzację danych wejściowych w parametrze ID. Należy również ograniczyć dostęp do pliku edit.php.
Inne podatności w DefaultFuction CRM
Zobacz wszystkie- CVE-2026-86172Średnie
Podatność w DefaultFuction CRM 1.0.0 dotyczy nieznanej funkcji w pliku /modules/customers/delete.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, exploit jest publiczny.
- CVE-2026-86171Średnie
Podatność w DefaultFuction CRM 1.0.0 dotyczy nieznanej funkcji w pliku /modules/orders/delete.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in DefaultFuction CRM 1.0.0. The impacted element is an unknown function of the file /modules/orders/edit.php. This manipulation of the argument ID causes sql injection. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks.