PT-2026-129209
CVE-2026-54455
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
7.6
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
OpenCATS الإصدارات السابقة لـ 0.10.0
Description
توجد مشكلة في تصفية تاريخ DataGrid للنشاط ضمن نقاط النهاية
home:CallsDataGrid و activity:ActivityDataGrid. يفشل التطبيق في التحقق بشكل كافٍ أو تصفية المعلمات التي يتم التحكم فيها عبر الطلب وهي period و startDate و endDate في الملفين modules/home/dataGrids.php و modules/activity/dataGrids.php. وتحديداً، يتم إدراج قيم startDate و endDate في مقارنات سلسلة SQL دون تصفية آمنة، ويمكن لمعلمة period التأثير مباشرة على استعلام SQL الناتج. يمكن للمستخدم المصرح له استغلال ذلك لتعديل الاستعلامات والوصول إلى محتويات قاعدة البيانات الحساسة، بما في ذلك بيانات حسابات المستخدمين، وسجلات المرشحين، وتفاصيل الاتصال، ومعلومات الشركة، وطلبات الوظائف، وسجل النشاط.Recommendations
التحديث إلى الإصدار 0.10.0.
تقييد استخدام المعلمات
period و startDate و endDate في نقاط النهاية home:CallsDataGrid و activity:ActivityDataGrid حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾