Към съдържанието
Търсене

CVE-2026-55871: mayerbalintdev GYM-One, инжекция

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

GYM One is open-source gym management software for fitness centers, personal trainers, and sports clubs. Prior to 1.4.1, GYM One's admin/users/index.php concatenates the search_name and search_email GET parameters into both the user-list query and the COUNT query used for pagination without prepared statements. An authenticated administrator can inject SQL through either search field to read data from arbitrary tables, including user information and password hashes. Depending on database permissions, the same injection may also permit filesystem writes. This issue is fixed in version 1.4.1.

Засегнати продукти

  • mayerbalintdev GYM-One: < 1.4.1

Вид слабост

История

  • 15 октомври 2026 Публикувано

Други уязвимости в mayerbalintdev GYM-One

Първоизточници

CVE-2026-55871: mayerbalintdev GYM-One, инжекция | freedomonline.bg