CVE-2024-28714
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w systemie e-commerce CRMEB_Java w wersji 1.3.4 umożliwia atakującemu wykonanie dowolnego kodu poprzez parametr groupid.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść wrażliwe dane klientów lub przejąć kontrolę nad systemem.
Rekomendacja
Należy natychmiast zaktualizować system CRMEB_Java do najnowszej wersji oraz zastosować parametryzację zapytań SQL dla parametru groupid.
Inne podatności w CRMEB_Java
Zobacz wszystkie- CVE-2026-111354Niskie
crmeb_java w wersji do 3.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom odczytywać zamówienia innych członków poprzez podanie ich numerów zamówień. Atakujący może wywołać /api/front/order/express/{orderId} lub /api/front/order/apply/refund/{orderId}, aby zobaczyć numery śledzenia, ślady logistyczne, kwoty płatności i pozycje produktowe ofiar.
- CVE-2026-10771Wysokie
Podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji RestTemplate.getForEntity w pliku RestTemplateUtil.java w systemie crmeb_java 1.4. Atakujący może zdalnie manipulować argumentem URL w endpointcie base64 Qrcode, co prowadzi do nieautoryzowanych żądań serwerowych.
Oryginalny opis (angielski, źródło NVD)
SQL Injection vulnerability in CRMEB_Java e-commerce system v.1.3.4 allows an attacker to execute arbitrary code via the groupid parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS