Към съдържанието
Търсене

CVE-2026-27832: Intermesh groupoffice, инжекция

7.1

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Group-Office is an enterprise customer relationship management and groupware tool. Versions prior to 26.0.8, 25.0.87, and 6.8.153 have a SQL Injection (SQLi) vulnerability, exploitable through the `advancedQueryData` parameter (`comparator` field) on an authenticated endpoint. The endpoint `index.php?r=email/template/emailSelection` processes `advancedQueryData` and forwards the SQL comparator without a strict allowlist into SQL condition building. This enables blind boolean-based exfiltration of the `core_auth_password` table. Versions 26.0.8, 25.0.87, and 6.8.153 fix the issue.

Засегнати продукти

  • Intermesh groupoffice: < 6.8.153; >= 25.0.0, < 25.0.87; >= 26.0.0, < 26.0.8

Вид слабост

История

  • 27 февруари 2026 Публикувано

Други уязвимости в Intermesh groupoffice

Първоизточници

CVE-2026-27832: Intermesh groupoffice, инжекция | freedomonline.bg