PT-2026-42510 · Openises+1 · Tickets

CVE-2026-48232 · Publicado 2026-05-21 · Atualizado 2026-07-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Open ISES Tickets versões anteriores a 3.44.2

Description Existe um problema no endpoint 'ajax/fullsit incidents.php' onde o parâmetro GET offset é concatenado na cláusula LIMIT de uma instrução SELECT sem a devida sanitização. Isso permite que atacantes autenticados manipulem a semântica da consulta para ler, modificar ou destruir conteúdos do banco de dados via SQL injection, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução.

Recommendations Atualize para a versão 3.44.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'ajax/fullsit incidents.php' ou evite o uso do parâmetro offset.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-48232

Produtos afetados

Tickets

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/48xxx/CVE-2026-48232.json · Exploit
• https://github.com/openises/tickets/releases/tag/v3.44.2 · Nota
• https://github.com/openises/tickets/commit/ecfeb406a016766cae81c749e14b5145a9f2dbff · Correção
• https://t.me/cveNotify/217106 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-48232 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-48232 · Nota de Segurança
• https://vulncheck.com/advisories/open-ises-tickets-sql-injection-via-ajax-fullsit-incidents-php-offset-parameter · Nota