CVE-2026-96600

ŚrednieCVSS 5.5

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Isotope eCommerce do wersji 2.9.10 zawiera podatność na ślepą iniekcję SQL w wywołaniach zwrotnych backendu, które interpolują identyfikatory kontrolowane przez żądanie i wartości dostarczane przez administratora bezpośrednio do zapytań SQL. Uwierzytelnieni użytkownicy backendu Contao z uprawnieniami modułu Isotope mogą wykorzystać warunkowe i czasowe ładunki iniekcji, aby wyodrębnić dowolną zawartość bazy danych, w tym hasła użytkowników z tabeli tl_user.

Ocena ryzyka

Ryzyko obejmuje możliwość kradzieży haseł użytkowników i innych wrażliwych danych z bazy danych, co może prowadzić do przejęcia kont i naruszenia bezpieczeństwa systemu.

Rekomendacja

Należy zaktualizować Isotope eCommerce do wersji zawierającej poprawkę oraz wdrożyć parametryzowane zapytania SQL w wywołaniach zwrotnych backendu.

Inne podatności w Isotope eCommerce

CVE-2026-96599Średnie
Isotope eCommerce do wersji 2.9.10 wyprowadza identyfikatory zamówień z funkcji uniqid() zamiast z kryptograficznie bezpiecznego źródła, co pozwala nieuwierzytelnionym atakującym na zgadywanie identyfikatorów. Zamówienia gości nie mają weryfikacji własności, co umożliwia atakującym dostęp do szczegółów zamówienia, w tym adresu rozliczeniowego, danych klienta i zakupionych plików, poprzez podanie zgadniętego parametru uid.

Oryginalny opis (angielski, źródło NVD)

Isotope eCommerce through 2.9.10 contains a blind SQL injection vulnerability in backend callbacks that interpolate request-controlled identifiers and administrator-supplied values directly into SQL statements. Authenticated Contao backend users with Isotope module permissions can exploit conditional and time-based injection payloads to extract arbitrary database contents including user password hashes from the tl_user table.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS