CVE-2026-88395

KrytyczneCVSS 9.8

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 05/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Streszczenie

GouGuOA w wersji 6.0.5 i wcześniejszych jest podatny na iniekcję SQL w /home/message/rubbish poprzez parametr keywords.

Ocena ryzyka

Ryzyko obejmuje możliwość zdalnego wykonania nieautoryzowanych zapytań do bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji. Atak może być przeprowadzony bez uwierzytelnienia.

Rekomendacja

Zaleca się natychmiastową aktualizację GouGuOA do najnowszej wersji oraz zastosowanie prepared statements dla parametru keywords. Należy również ograniczyć dostęp do endpointu.

Inne podatności w GouGuOA

CVE-2026-84430Średnie
Wykryto podatność w gouguoa do wersji 5.10.0/6.0.1. Dotyczy ona funkcji update w pliku app/home/controller/Index.php komponentu edit_personal Endpoint. Manipulacja argumentem position_id prowadzi do dynamicznie określanych atrybutów obiektu. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 6.0.3 rozwiązuje ten problem.

Oryginalny opis (angielski, źródło NVD)

GouGuOA v6.0.5 and before is vulnerable to SQL Injection in /home/message/rubbish via the keywords parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS