PT-2026-78543
CVE-2026-61518
·
تاريخ النشر
2026-08-19
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
ISPConfig (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة حقن SQL مع مصادقة في واجهة برمجة التطبيقات (API) عن بُعد. يتم ربط المعلمة
primary id المستخدمة في طرق API للحذف والتحديث مباشرةً بجمل WHERE في SQL دون تحويل إلى عدد صحيح أو ربط الاستعلام بالمعلمات. يفشل الماسح الضوئي المدمج لاكتشاف حقن SQL في حظر الحمولات المنطقية الخالية من علامات الاقتباس ولا يرفض الطلبات بشكل افتراضي. يمكن لمستخدم واجهة برمجة التطبيقات (API) عن بُعد يتمتع بأي إذن وظيفي ذي امتيازات منخفضة تنفيذ أوامر SQL تعسفية لتعديل أو حذف السجلات عبر جميع المستأجرين في قاعدة بيانات لوحة التحكم واستخراج البيانات الحساسة، مثل تجزئات كلمات المرور وسجلات العملاء، باستخدام الاستدلال المنطقي الأعمى (وهي تقنية تُستخدم لاستخراج البيانات عن طريق طرح أسئلة صواب/خطأ على قاعدة البيانات).التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾