CVE-2026-9465
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w pliku /Easy7/apps/WebService/GetDBDataEx.jsp platformy Tiandy Easy7 Integrated Management Platform 7.17.0. Manipulacja argumentem strTBName prowadzi do wstrzyknięcia SQL. Atak zdalny, exploit publiczny. Producent nie odpowiedział.
Ocena ryzyka
Ryzyko zdalnego wstrzyknięcia SQL, co może prowadzić do wycieku danych i naruszenia integralności bazy danych.
Rekomendacja
Należy natychmiast zastosować parametryzację zapytań SQL dla argumentu strTBName w pliku GetDBDataEx.jsp.
Inne podatności w Tiandy Easy7 Integrated Management Platform
Zobacz wszystkie- CVE-2026-7698Wysokie
Zidentyfikowano podatność w platformie zarządzania Tiandy Easy7 w wersji 7.17.0, która dotyczy nieznanej funkcjonalności pliku /Easy7/rest/systemInfo/updateDbBackupInfo. Manipulacja argumentem week prowadzi do wstrzyknięcia poleceń systemowych.
- CVE-2026-9466Średnie
Platforma Tiandy Easy7 Integrated Management Platform w wersji 7.17.0 zawiera podatność w pliku /rest/user/updateUserPassword endpointu API. Manipulacja może prowadzić do słabego odzyskiwania hasła. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Tiandy Easy7 Integrated Management Platform 7.17.0. This vulnerability affects unknown code of the file /Easy7/apps/WebService/GetDBDataEx.jsp. Performing a manipulation of the argument strTBName results in sql injection. Remote exploitation of the attack is possible. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.