CVE-2026-27832

Nome do Software Vulnerável e Versões Afetadas Versões do Group-Office anteriores a 26.0.8 Versões do Group-Office anteriores a 25.0.87 Versões do Group-Office anteriores a 6.8.153

Descrição O software apresenta uma vulnerabilidade de Injeção SQL que pode ser explorada por meio do parâmetro advancedQueryData, especificamente no campo comparator, em um endpoint autenticado. O endpoint index.php?r=email/template/emailSelection processa o parâmetro advancedQueryData e incorpora o comparador SQL diretamente na construção das condições SQL sem validação adequada. Isso permite a exfiltração cega baseada em booleanos da tabela core auth password.

Recomendações Atualize para a versão 26.0.8 ou superior do Group-Office. Atualize para a versão 25.0.87 ou superior do Group-Office. Atualize para a versão 6.8.153 ou superior do Group-Office.