CVE-2026-108100

Nome do Software Vulnerável e Versões Afetadas HortusFox (hortusfox-web) versões anteriores a 6.2

Description Um problema de injeção de SQL existe onde detentores de tokens de API podem executar comandos SQL arbitrários. Ao fornecer valores manipulados para a variável include info no endpoint '/api/locations/list', atacantes podem inserir subconsultas que a função getSpecificInfo() no PlantsModel concatena na lista de colunas. Isso permite a leitura não autorizada de qualquer tabela do banco de dados, incluindo hashes de senhas de usuários.

Recommendations Atualize o HortusFox (hortusfox-web) para a versão 6.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/api/locations/list' ou evite usar o parâmetro include info.