Към съдържанието
Търсене

CVE-2026-52745: 1Panel-dev CordysCRM, инжекция

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с администраторски права и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

CordysCRM is an open source AI-powered customer relationship management system that supports private deployment. Prior to 1.7.0, the POST /account-pool/page endpoint allows an authenticated caller with MODULE_SETTING:UPDATE to place a crafted sort.name value into a dynamic SQL ORDER BY expression without strict server-side validation of the sorting field. The resulting time-based blind SQL injection can confirm database expression execution, infer database metadata and sensitive values, and introduce database delays that degrade service. This issue is fixed in version 1.7.0.

Засегнати продукти

  • 1Panel-dev CordysCRM: < 1.7.0

Вид слабост

История

  • 18 септември 2026 Публикувано

Други уязвимости в 1Panel-dev CordysCRM

Първоизточници

CVE-2026-52745: 1Panel-dev CordysCRM, инжекция | freedomonline.bg