PT-2026-22426 · Opendcim · Opendcim

Valentin Lobstein · Publicado 2026-02-27 · Atualizado 2026-03-10 · CVE-2026-28516

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do openDCIM até a 23.04 commit 4467e9c4

Descrição O software contém uma vulnerabilidade de injeção de SQL na função Config::UpdateParameter. Os manipuladores install.php e container-install.php incorporam diretamente entradas fornecidas pelo usuário em instruções SQL usando interpolação de strings, sem o uso de prepared statements ou sanitização adequada de entrada. Um usuário autenticado pode executar instruções SQL arbitrárias contra o banco de dados. Os parâmetros vulneráveis são passados para as instruções SQL sem a devida validação.

Recomendações Versões anteriores à 23.04 commit 4467e9c4 devem ser atualizadas.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2026-07990

CVE-2026-28516

Produtos afetados

Opendcim

Referências · 17

• 🔥 https://github.com/Chocapikk/opendcim-exploit · Exploit
• 🔥 https://chocapikk.com/posts/2026/opendcim-sqli-to-rce · Exploit
• https://github.com/opendcim/openDCIM/pull/1664 · Correção
• https://github.com/opendcim/openDCIM/blob/4467e9c4/config.inc.php#L75-L90 · Nota
• https://github.com/opendcim/openDCIM/blob/4467e9c4/install.php#L420-L434 · Nota
• https://github.com/opendcim/openDCIM/pull/1664/changes/8f7ab2a710086a9c8c269560793e47c577ddda09 · Correção
• https://twitter.com/CVEnew/status/2027744213907988759 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-28516 · Nota de Segurança
• https://twitter.com/ptdbugs/status/2029208213950759141 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2027536139075166249 · Publicação no Twitter
• https://twitter.com/Chocapikk_/status/2027525689491193901 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-28516 · Aviso do Fabricante
• https://t.me/proxy_bar/3170 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2026-07990 · Nota de Segurança
• https://t.me/CVEtracker/46011 · Publicação no Telegram