CVE-2026-55871

اسم البرنامج المصاب والإصدارات المتأثرة GYM One الإصدارات السابقة لـ 1.4.1

Description يمكن للمسؤول المصرح له تنفيذ حقن SQL عبر نقطة النهاية 'admin/users/index.php'. تحدث هذه المشكلة لأن معاملات GET search name و search email يتم دمجها في استعلام قائمة المستخدمين واستعلام COUNT المستخدم للتنقل بين الصفحات دون استخدام البيانات المُعدة مسبقاً (prepared statements). يسمح هذا للمهاجم بقراءة البيانات من جداول عشوائية، بما في ذلك معلومات المستخدمين وتجزئات كلمات المرور، وقد يسمح أيضاً بالكتابة على نظام الملفات اعتماداً على أذونات قاعدة البيانات.

Recommendations التحديث إلى الإصدار 1.4.1. تجنب استخدام المعاملين search name و search email في نقطة النهاية 'admin/users/index.php' حتى يتم تطبيق التحديث.