8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Manticore Search versions 27.0.0 before 28.4.4 fail to validate permissions for all statements in multi-statement SQL requests, allowing read-only users to execute unauthorized queries. Attackers can append additional SELECT statements after the first statement to read credential tables and obtain password hashes that authenticate as administrators without plaintext recovery.
Засегнати продукти
- manticoresoftware Manticore Search: 27.0.0 преди 28.4.4
Вид слабост
История
- 16 септември 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-92796
- https://nvd.nist.gov/vuln/detail/CVE-2026-92796
- https://github.com/geo-chen/oss/blob/main/manticoresearch.md
- https://github.com/manticoresoftware/manticoresearch/issues/4706
- https://github.com/manticoresoftware/manticoresearch/blob/release-28.4.4/src/auth/auth_proto_mysql.cpp#L408-L418
- https://github.com/manticoresoftware/manticoresearch
- https://www.vulncheck.com/advisories/manticore-search-27.0.0-before-28.4.4-multi-statement-authorization-bypass