CVE-2026-15951

Nome do Software Vulnerável e Versões Afetadas Icegram Mailer versões anteriores a 1.0.13

Descrição Existe um problema onde atacantes autenticados com nível de acesso de Administrador ou superior podem realizar Injeção de SQL. Isso ocorre porque a função get logs() na classe Icegram Mailer Logs Table não escapa ou prepara adequadamente a consulta SQL ao processar o parâmetro fields recebido de $ REQUEST['data']. Especificamente, os elementos do array fields são unidos diretamente na cláusula SELECT usando a função implode() sem uma lista de permissões (whitelist) ou placeholders de declarações preparadas, permitindo que atacantes anexem consultas SQL maliciosas para extrair informações sensíveis do banco de dados.

Recomendações Atualize para uma versão posterior à 1.0.12. Como medida de mitigação temporária, restrinja o acesso ao parâmetro fields dentro da funcionalidade afetada para minimizar o risco de exploração.