CVE-2017-20268
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Komponent Joomla! Zap Calendar Lite w wersji 4.3.4 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrze 'eid'. Atakujący mogą wysyłać żądania GET do punktu końcowego wtyczki RSVP z odpowiednio skonstruowanymi ładunkami SQL w celu wydobycia wrażliwych informacji z bazy danych.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym dostęp do poufnych informacji w bazie danych, co może prowadzić do dalszych ataków lub wycieku danych.
Rekomendacja
Zaleca się aktualizację komponentu Zap Calendar Lite do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich środków zabezpieczających, takich jak filtrowanie i walidacja danych wejściowych.
Powiązane podatności
- CVE-2026-124917Krytyczne
Podatność umożliwiająca ucieczkę z piaskownicy wynikającą z use-after-free w komponencie Widget: Gtk przeglądarki Firefox. Może pozwolić na obejście izolacji procesów. Podatność została naprawiona w wersjach Firefox 160 i Firefox ESR 153.7.
- CVE-2026-124903Krytyczne
W komponencie IPC występuje ucieczka z piaskownicy wynikająca z podatności use-after-free. Luka została naprawiona w wersjach Firefox 160, Firefox ESR 115.45 oraz Firefox ESR 153.7.
- CVE-2026-124900Krytyczne
W komponencie DOM: Service Workers przeglądarki Firefox występuje use-after-free umożliwiający ucieczkę z piaskownicy. Podatność została naprawiona w wersji Firefox 160.
- CVE-2026-124864Krytyczne
Podatność use-after-free w komponencie DOM: Service Workers przeglądarki Firefox umożliwiająca ucieczkę z piaskownicy. Może pozwolić na obejście mechanizmów izolacji przeglądarki. Naprawiono w Firefox 160, Firefox ESR 115.45 i Firefox ESR 153.7.
- CVE-2026-124861Krytyczne
Podatność use-after-free w komponencie Audio/Video: cubeb przeglądarki Firefox umożliwiająca ucieczkę z piaskownicy. Może pozwolić na obejście mechanizmów izolacji przeglądarki. Naprawiono w Firefox 160, Firefox ESR 115.45 i Firefox ESR 153.7.
- CVE-2026-124859Krytyczne
Ucieczka z piaskownicy w komponencie Storage: Cache API przeglądarki Firefox wynikająca z nieprawidłowych warunków brzegowych. Może pozwolić na obejście mechanizmów izolacji przeglądarki. Naprawiono w Firefox 160, Firefox ESR 115.45 i Firefox ESR 153.7.
- CVE-2026-124853Krytyczne
W komponencie Graphics: Text przeglądarki Firefox występuje podatność umożliwiająca ucieczkę z piaskownicy z powodu nieprawidłowych warunków brzegowych. Podatność została naprawiona w wersjach Firefox 160, Firefox ESR 115.45 oraz Firefox ESR 153.7.
- CVE-2026-119446Krytyczne
Podatność typu Session Fixation w przepływie logowania CLI w nerves_hub_web pozwala nieuwierzytelnionemu atakującemu uzyskać token API konta innego użytkownika poprzez spreparowany link logowania. Kod potwierdzenia jest jedynie wyświetlany i nigdy nie jest porównywany, więc nie potwierdza, że osoba zatwierdzająca jest tą samą, która rozpoczęła logowanie.
- CVE-2026-60043Krytyczne
Nieuwierzytelniony zdalny atakujący może przeprowadzić atak XSS na zalogowanego użytkownika backendu, co pozwala na wykonanie krytycznych akcji systemowych, takich jak wyłączenie serwera lub przywrócenie przesłanego backupu.
- CVE-2026-13312Krytyczne
Opisana podatność może umożliwić atakującemu przejęcie kontroli nad systemem. Szczegóły techniczne nie zostały podane w opisie.
Oryginalny opis (angielski, źródło NVD)
Joomla! Component Zap Calendar Lite 4.3.4 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the 'eid' parameter. Attackers can send GET requests to the RSVP plugin endpoint with crafted SQL payloads to extract sensitive database information including database names and table structures.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS