CVE-2026-100752

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.3%
CWE: CWE-89
KEV Durumu: Hayır

Yayım tarihi: 28 Eylül 2026

Etkilenen: ordasoft real_estate_manager

Joomla Uzantısı - ordasoft.com - Kimlik Doğrulaması Gerekmeden SQL Enjeksiyonu Gerçek Estate Yöneticisi (Ücretsiz) < 6.7.9 - site/realestatemanager.php, kategorilere göre gezinme, arama sonuçları ve tam mülk listelemesi için üç ayrı ön yüz mülk listeleme sorgusunun ORDER BY bölümünü, doğrudan alıntılanmamış bir SQL bölümüne eklenen ve gerçek sütun adlarının izinli listesini içermeyen veya dönüştürmeyen bir istek-kontrollü order_field parametresinden oluşturur.

Orijinal açıklama (İngilizce)

Joomla Extension - ordasoft.com - Unauthenticated SQL Injection in Real Estate Manager (Free) < 6.7.9 - site/realestatemanager.php builds the ORDER BY clause of three separate frontend property-listing queries (category browsing, search results, and the full property listing) from a request-controlled order_field parameter, concatenated directly into an unquoted SQL clause with no allow-list of real column names and no cast.

Referanslar

https://www.ordasoft.com/

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.