CVE-2026-101108

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.3%
CWE: CWE-89
KEV Durumu: Hayır

Yayım tarihi: 28 Eylül 2026

Etkilenen: ordasoft vehicle_manager

Joomla Uzantısı - ordasoft.com - Kimlik Doğrulaması Gerekmeden SQL Enjeksiyonu Vehicle Manager (Ücretsiz) < 6.5.8 - site/vehiclemanager.php, kategoriler listesi, arama ve tüm araçlar listesi gibi üç ayrı anonim erişilebilir ön uç giriş noktasında sıralama parametreleri olan order_field ve order_direction'ı okur. Bu değerler, gerçek kaçış uygulanmasını sağlayan bir temizleme işlevi aracılığıyla işlenir, ancak daha sonra kaçışın hiçbir koruyucu etkisi olmayan alıntısız bir ORDER BY ifadesine yerleştirilir.

Orijinal açıklama (İngilizce)

Joomla Extension - ordasoft.com - Unauthenticated SQL Injection in Vehicle Manager (Free) < 6.5.8 - site/vehiclemanager.php reads the order_field and order_direction sort parameters at three separate anonymous-reachable frontend entry points (category listing, search, and the all-vehicles listing) through a sanitizing function that applies real escaping, but the value is then placed into an unquoted ORDER BY clause, where escaping has no protective effect.

Referanslar

https://www.ordasoft.com/

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.