PT-2026-49331

CVE-2026-50890

·

Publicado

2026-06-15

·

Atualizado

2026-06-16

Descrição por

CVSS 3.1
9.8
Crítica
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas grocy versão 4.6.0
Description Ocorre uma injeção de SQL no endpoint '/stockreports/spendings' através do parâmetro product-group. Isso permite que atacantes acessem informações confidenciais do banco de dados por meio de uma instrução SQL manipulada. A injeção de SQL é um tipo de falha onde um atacante pode interferir nas consultas que uma aplicação faz ao seu banco de dados.
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint '/stockreports/spendings' ou evite o uso do parâmetro product-group.
Explorabilidade
Exploit
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')
Identificadores relacionados
CVE-2026-50890
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com