CVE-2026-96604

WysokieCVSS 7.3

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W SoftNews Media Group DataLife Engine 18.0 wykryto podatność w funkcji strip_data w pliku engine/modules/search.php komponentu Search Module. Manipulacja argumentem story prowadzi do wstrzyknięcia SQL. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny i może być wykorzystywany.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych z bazy.

Rekomendacja

Zaktualizuj DataLife Engine do wersji zawierającej poprawkę, a jeśli producent nie dostarczył łatki, rozważ wdrożenie reguł WAF filtrujących parametry zapytań.

Inne podatności w DataLife Engine

CVE-2013-1412Wysokie
DataLife Engine (DLE) w wersji 9.7 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr catlist[] w pliku engine/preview.php, który jest używany w wywołaniu funkcji preg_replace z modyfikatorem e.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in SoftNews Media Group DataLife Engine 18.0. This affects the function strip_data of the file engine/modules/search.php of the component Search Module. The manipulation of the argument story leads to sql injection. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS