CVE-2026-123488
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-89
- KEV Durumu
- Hayır
Yayım tarihi: 6 Kasım 2026
Craft CMS 4.0.0 sürümünden önce 4.18.9 ve 5.0.0 sürümünden önce 5.11.2, element arama endpointindeki atribüt parametresinin sorguya sansürsüz bir şekilde eklenmesi ve taklit PDO hazırlıklarının yığınlanmış ifadeleri разреш etmesi nedeniyle kimlik doğrulaması yapılmayan bir SQL enjeksiyon zafiyeti içerir. Uzaktan saldırganlar veritabanını okuyabilir ve yazabilir, yönetici erişimini elde etmek için kullanıcılar tablosundaki yönetici bayrağını ayarlayabilir veya parola karmalarını geçersiz kılabilir.
Orijinal açıklama (İngilizce)
Craft CMS 4.0.0 before 4.18.9 and 5.0.0 before 5.11.2 contains an unauthenticated SQL injection vulnerability in the element search endpoint because the attribute parameter is concatenated into the query unsanitized and emulated PDO prepares allow stacked statements. Remote attackers can read and write the database, setting the admin flag or overwriting password hashes in the users table to gain administrator access.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.