CVE-2026-93484
Təsvir
Znuny 7.3.6 versiyadək olan versiyalarda bilet axtarışı məlumat bazası sorğusu, istifadəçi tərəfindən təmin edilən girişin birbaşa SQL ifadəsinə birləşdirilməsi ilə qurulur. Müvafiq təmizləmənin aparılmaması və ya parametrləşdirilmiş sorğuların istifadə edilməməsi hücumçuya ixtiyari SQL əmrlərini yerləşdirməyə imkan verir ki, bu da məlumatların oğurlanmasına, dəyişdirilməsinə və ya xidmətdən imtinaya səbəb ola bilər. Xüsusilə, bu problem Kernel::System::Ticket::TicketSearch və Kernel::System::Ticket::ArticleSearchIndex::DB komponentlərində ContentSearch parametri vasitəsilə baş verir. Parametrin "AND" və ya "OR" olması gözlənilir, lakin onun dəyəri heç bir yoxlama aparılmadan birbaşa generasiya edilmiş SQL sorğusuna birləşdirilir.
Necə düzəltmək olar
- Znuny Znuny6.5.25, 7.3.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Znuny Znuny | v < 6.5.25, 7.0.0 ≤ v < 7.3.7 | 6.5.25, 7.3.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.