CVE-2026-55871
Açıklama
GYM One; fitness merkezleri, kişisel eğitmenler ve spor kulüpleri için geliştirilmiş açık kaynaklı bir salon yönetim yazılımıdır. 1.4.1 sürümünden önce, GYM One'ın admin/users/index.php dosyası, search_name ve search_email GET parametrelerini hazırlıklı ifadeler (prepared statements) kullanmadan hem kullanıcı listesi sorgusuna hem de sayfalama için kullanılan COUNT sorgusuna eklemektedir. Kimliği doğrulanmış bir yönetici, her iki arama alanı üzerinden SQL enjeksiyonu gerçekleştirerek kullanıcı bilgileri ve parola özetleri dahil olmak üzere rastgele tablolardan veri okuyabilir. Veritabanı izinlerine bağlı olarak aynı enjeksiyon, dosya sistemine yazma işlemine de izin verebilir. Bu sorun 1.4.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mayerbalintdev GYM-One | < 1.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.