PT-2026-42509 · Unknown · Open Ises Tickets
Publicado
2026-05-21
·
Atualizado
2026-05-22
·
CVE-2026-48231
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Open ISES Tickets versões anteriores a 3.44.2
Descrição
Existe um problema no endpoint 'tables.php' onde múltiplos parâmetros POST, especificamente
tablename, indexname e sortby, são concatenados em identificadores de tabela ou coluna em instruções SELECT, UPDATE e DELETE construídas dinamicamente sem a sanitização adequada. Isso permite que atacantes autenticados manipulem a semântica da consulta para ler, modificar ou excluir conteúdos do banco de dados. SQL injection é uma técnica onde um atacante insere código SQL malicioso em uma consulta, permitindo que ele interfira nas consultas que uma aplicação faz ao seu banco de dados.Recomendações
Atualize para a versão 3.44.2 ou posterior.
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Open Ises Tickets