PT-2026-35240 · Unknown · Yu-Picture

Anch0R · Publicado 2026-04-26 · Atualizado 2026-04-26 · CVE-2026-7060

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas liyupi yu-picture versões anteriores a a053632c41340152bf75b66b3c543d129123d8ec

Descrição Uma injeção de SQL remota é possível através do argumento sortField na função PageRequest() dentro do componente MyBatis-Plus do arquivo yu-picture-backend/src/main/java/com/yupi/yupicturebackend/service/impl/PictureServiceImpl.java. A injeção de SQL é uma técnica onde um invasor insere código SQL malicioso em uma consulta, permitindo a manipulação do banco de dados.

Recomendações Aplique a correção disponível para resolver o problema. Como medida paliativa temporária, restrinja ou valide a entrada do argumento sortField utilizado na função PageRequest().

Exploit

Correção

SQL injection

Special Elements Injection

Enumeração de Fraquezas

CWE-89

CWE-74

Identificadores relacionados

CVE-2026-7060

Produtos afetados

Yu-Picture

Referências · 8

• 🔥 https://github.com/liyupi/yu-picture/issues/4 · Exploit
• https://github.com/liyupi/yu-picture/pull/3 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-7060 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048546598117097688 · Publicação no Twitter
• https://vuldb.com/vuln/359633/cti · Nota
• https://vuldb.com/submit/798612 · Nota
• https://vuldb.com/vuln/359633 · Nota
• https://github.com/liyupi/yu-picture · Nota