CVE-2026-55871

Nome do Software Vulnerável e Versões Afetadas GYM One versões anteriores a 1.4.1

Description Um administrador autenticado pode realizar a injeção de SQL através do endpoint 'admin/users/index.php'. O problema ocorre porque os parâmetros GET search name e search email são concatenados nas consultas de lista de usuários e de contagem (COUNT) para paginação sem o uso de prepared statements. Isso permite que um invasor leia dados de tabelas arbitrárias, incluindo informações de usuários e hashes de senhas, e pode permitir gravações no sistema de arquivos, dependendo das permissões do banco de dados.

Recommendations Atualizar para a versão 1.4.1. Evite usar os parâmetros search name e search email no endpoint 'admin/users/index.php' até que a atualização seja aplicada.