CVE-2026-9524

ŚrednieCVSS 6.3

Opublikowano: 26/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

W projekcie EasyReport (wersje do 2.0.17.0522_Beta) znaleziono podatność na wstrzykiwanie SQL w komponencie REST Endpoint poprzez argument reportParams. Atak może być przeprowadzony zdalnie, a producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Atakujący może zdalnie manipulować bazą danych, co może prowadzić do wycieku danych, modyfikacji lub usunięcia informacji.

Rekomendacja

Należy natychmiast zaprzestać używania podatnej wersji i zastosować dostępne łatki lub zastąpić oprogramowanie bezpieczniejszym rozwiązaniem.

Inne podatności w EasyReport

CVE-2026-75876Średnie
Wykryto podatność na iniekcję SQL w EasyReport do wersji 2.0.17.0522_Beta, w pliku ModuleController.java, w operacjach przenoszenia. Manipulacja argumentem sourcePath umożliwia zdalny atak. Exploit został publicznie ujawniony, a projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in xianrendzw EasyReport up to 2.0.17.0522_Beta. Affected by this issue is the function execute of the component REST Endpoint. Executing a manipulation of the argument reportParams can lead to sql injection. The attack can be launched remotely. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS