CVE-2026-121610
WysokieCVSS 7.3Streszczenie
W funadmin 7.1.0 wykryto lukę w funkcji Curd::selectList pliku /frontend/ajax/index (komponent Frontend List Endpoint). Manipulacja argumentem selectFields prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Wstrzyknięcie SQL może pozwolić atakującemu na dostęp do danych w bazie lub ich modyfikację. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy ograniczyć dostęp do endpointu /frontend/ajax/index oraz wdrożyć walidację parametrów po stronie aplikacji. Zaleca się monitorowanie logów pod kątem podejrzanych zapytań, ponieważ producent nie odpowiedział na zgłoszenie.
Inne podatności w funadmin
Zobacz wszystkie- CVE-2026-7733Wysokie
Wykryto lukę w funadmin do wersji 7.1.0-rc6, która dotyczy funkcji UploadService::chunkUpload w pliku app/common/service/UploadService.php. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.
- CVE-2023-36097Krytyczne
Wersje 3.3.2 i 3.3.3 funadmin są podatne na niebezpieczne przesyłanie plików poprzez instalację wtyczek.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in funadmin 7.1.0. Impacted is the function Curd::selectList of the file /frontend/ajax/index of the component Frontend List Endpoint. The manipulation of the argument selectFields results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS