CVE-2026-105287
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w nieznanej funkcji pliku App/Feelcrm/Crm/Controller/AjaxRequestController.class.php komponentu getMemberByGroups Endpoint. Manipulacja argumentem groups[] powoduje sql injection, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Osoba atakująca może wykonać dowolne zapytania SQL, potencjalnie odczytując, modyfikując lub usuwając dane z bazy. Może to prowadzić do pełnego naruszenia poufności i integralności danych.
Rekomendacja
Ze względu na brak odpowiedzi projektu rozważ wdrożenie własnych poprawek lub ograniczenie dostępu do aplikacji. Stosuj zapytania parametryzowane dla argumentu groups[].
Inne podatności w feelcrm-os
Zobacz wszystkie- CVE-2026-105389Średnie
Wykryto podatność w feelec-yishu feelcrm-os 1.0.0. Dotyczy ona nieznanego przetwarzania w pliku App/Feelcrm/Crm/Controller/UploadController.class.php komponentu UploadTicketFile Endpoint. Manipulacja argumentem cmd prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105388Średnie
Zidentyfikowano słabość w feelec-yishu feelcrm-os 1.0.0. Podatność dotyczy funkcji index w pliku App/Feelcrm/Index/Controller/MemberController.class.php komponentu Member Endpoint. Manipulacja argumentem group_id powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105291Średnie
W feelec-yishu feelcrm-os 1.0.0 wykryto podatność w funkcji GroupController::index w pliku App/Feelcrm/Index/Controller/GroupController.class.php komponentu Department Search Endpoint. Manipulacja argumentem keyword prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-105290Wysokie
Wykryto podatność w systemie feelcrm-os 1.0.0 (projekt feelec-yishu). Dotyczy ona nieznanej części pliku App/Feelcrm/Index/Controller/GoogleController.class.php w komponencie getCurlData Endpoint. Manipulacja argumentem url może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105289Niskie
W feelec-yishu feelcrm-os 1.0.0 wykryto lukę w funkcji htmlspecialchars_decode pliku App/Feelcrm/Common/Model/CrmDefineFormModel.class.php w komponencie Create Customer Endpoint. Manipulacja argumentem customer_form[remark] prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie.
- CVE-2026-105288Średnie
W feelec-yishu feelcrm-os 1.0.0 znaleziono podatność w funkcji IndexController::index w pliku App/ThinkPHP/Common/functions.php komponentu Crm Endpoint. Manipulacja argumentem redirect_url prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in feelec-yishu feelcrm-os 1.0.0. Affected is an unknown function of the file App/Feelcrm/Crm/Controller/AjaxRequestController.class.php of the component getMemberByGroups Endpoint. This manipulation of the argument groups[] causes sql injection. The attack is possible to be carried out remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS