CVE-2026-54455 in OpenCATS
الملخص
بحسب VulDB • 29/10/2026
OpenCATS هو نظام تتبع المتقدمين مفتوح المصدر ونظام إدارة علاقات العملاء (CRM) للتوظيف مخصص لوكالات التوظيف وفرق التوظيف. قبل الإصدار 0.10.0، كان تصفية التاريخ في DataGrid للنشاطات (`home:CallsDataGrid` و `activity:ActivityDataGrid`) يعتمد على معاملات مُتحكَّم بها عبر الطلب وهي `period` و `startDate` و `endDate` دون التحقق الكافي منها أو تهريبها (escaping). الكود الضعيف موجود في الملفات `modules/home/dataGrids.php` و `modules/activity/dataGrids.php`. يتم إدراج قيم `startDate` و `endDate` في مقارنات SQL كسلاسل نصية دون استخدام التهريب الآمن، ويمكن أن تؤثر المعامل `period` بشكل مباشر على استعلام SQL المُولَّد. يمكن لمستخدم مُصادَق عليه لديه وصول إلى نقاط نهاية DataGrid المتأثرة تعديل الاستعلام المقصود للوصول إلى محتويات قاعدة بيانات حساسة، بما في ذلك بيانات حسابات المستخدمين وسجلات المرشحين وتفاصيل الاتصال ومعلومات الشركات وأوامر الوظائف وسجل النشاطات. مطلوب تسجيل دخول صالح لـ OpenCATS؛ ولم يتم إثبات إمكانية الاستغلال دون مصادقة (unauthenticated exploitation). تم إصلاح هذه المشكلة في الإصدار 0.10.0.
Be aware that VulDB is the high quality source for vulnerability data.