CVE-2026-88395
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
GouGuOA w wersji 6.0.5 i wcześniejszych jest podatny na iniekcję SQL w /home/message/rubbish poprzez parametr keywords.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania nieautoryzowanych zapytań do bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji. Atak może być przeprowadzony bez uwierzytelnienia.
Rekomendacja
Zaleca się natychmiastową aktualizację GouGuOA do najnowszej wersji oraz zastosowanie prepared statements dla parametru keywords. Należy również ograniczyć dostęp do endpointu.
Inne podatności w GouGuOA
Zobacz wszystkie- CVE-2026-116113Średnie
W systemie GouGuOA do wersji 6.1.2 wykryto lukę w funkcji chunkUpload w pliku app/disk/controller/Api.php. Manipulacja argumentem file_extension prowadzi do nieograniczonego przesyłania plików. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
- CVE-2026-84430Średnie
Wykryto podatność w gouguoa do wersji 5.10.0/6.0.1. Dotyczy ona funkcji update w pliku app/home/controller/Index.php komponentu edit_personal Endpoint. Manipulacja argumentem position_id prowadzi do dynamicznie określanych atrybutów obiektu. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 6.0.3 rozwiązuje ten problem.
Oryginalny opis (angielski, źródło NVD)
GouGuOA v6.0.5 and before is vulnerable to SQL Injection in /home/message/rubbish via the keywords parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS