CVE-2026-28805 in openstamanager
الملخص
بحسب VulDB • 30/05/2026
OpenSTAManager هو برنامج إدارة مفتوح المصدر للمساعدة الفنية والفوترة. قبل الإصدار 2.10.2، كانت معالجات الاختيار عبر AJAX متعددة في OpenSTAManager عرضة لهجوم حقن SQL أعمى قائم على الوقت (Time-Based Blind SQL Injection) عبر معامل GET المسمى options[stato]. يتم قراءة القيمة التي يقدمها المستخدم من $superselect['stato'] ودمجها مباشرة في عبارات WHERE الخاصة بـ SQL كعبارة عارية، دون أي تنقية أو استخدام معاملات (parameterization) أو التحقق من قائمة مسموح بها (allowlist validation). يمكن لمهاجم موثق الحقن عبارات SQL تعسفية لاستخراج بيانات حساسة من قاعدة البيانات، بما في ذلك أسماء المستخدمين، وتجزئات كلمات المرور (password hashes)، والسجلات المالية، وأي معلومات أخرى مخزنة في قاعدة بيانات MySQL. تم إصلاح هذه المشكلة في الإصدار 2.10.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.