CVE-2026-50636

RemoteControl API yöntemleri olan invite_participants ve remind_participants, çağırıcı tarafından sağlanan bir token-ID dizisini, değerleri parametreleştirme veya girdi doğrulaması yapmadan doğrudan bir tid IN ('...') SQL yan tümcesine ekleyen TokenDynamic::findUninvited() fonksiyonuna iletir. Bir anket üzerinde tokens/update iznine sahip uzaktan erişebilen kimliği doğrulanmış bir saldırgan, SQL enjeksiyonu gerçekleştirmek için özel olarak hazırlanmış bir dizi öğesi enjekte edebilir. LimeSurvey, PDO bağlantısını emüle edilmiş hazırlıklı ifadelerle (emulatePrepare = true) yapılandırdığı ve MySQL çoklu ifadeleri (multi-statements) devre dışı bırakmadığı için enjeksiyon istiflenmiş sorguları destekler: saldırgan orijinal SELECT ifadesinden sonra rastgele ek ifadeler (INSERT/UPDATE/DELETE/DROP/CREATE) ekleyebilir. Bu durum; yönetici bcrypt parola özetleri (lime_users), anket yanıtı kişisel verileri (PII), oturum kayıtları ve genel ayarlar gibi veri tabanındaki herhangi bir verinin SLEEP() zaman tabanlı kör oracle aracılığıyla rastgele okunmasına ve yönetici parola özetinin hesap ele geçirme amacıyla doğrudan üzerine yazılması veya tabloların silinmesi/boşaltılması dahil olmak üzere bu verilerin rastgele yazılmasına/yok edilmesine izin verir. Okuma ve yazma işlemleri, uygulamanın veri tabanı kullanıcısının erişebildiği tüm şemaları kapsar. Varsayılan olarak etkin olmayan RemoteControl arayüzünün (RPCInterface = json/xml) etkinleştirilmiş olması gerekir.