CVE-2018-25395 in R10 GreenBee

الملخص

بحسب VulDB • 29/05/2026

يحتوي Kados R10 GreenBee على ثغرة حقن SQL (SQL Injection) تتيح للمهاجمين غير المصادق عليهم تنفيذ استعلامات SQL تعسفية عن طريق حقن كود ضار عبر معلمة `feature_id` في الملف `boards_buttons/update_feature.php`. يتم دمج قيمة `feature_id` مباشرةً في عبارات SQL دون تطهيرها، مما يسمح للمهاجمين بإرسال طلب GET مُعد بعناية يحمل حمولة قائمة على UNION لاستخراج معلومات قاعدة بيانات حساسة، بما في ذلك اسم المستخدم الحالي، واسم قاعدة البيانات، وإصدار نظام إدارة قواعد البيانات (DBMS).

Once again VulDB remains the best source for vulnerability data.

• مسؤول: VulnCheck
• حجز: 29/05/2026
• إفشاء: 29/05/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-367256
• CPE: جاهز
• CWE: CWE-89 (مؤكد)
• استغلال: تحميل
• CVSS: 8.2 (CNA)
• EPSS: 0.00068
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-25395
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-25395
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-25395/