CVE-2025-56162 in YOSHOP
Zusammenfassung
von VulDB • 01.08.2026
YOSHOP 2.0 ist von einer unautentifizierten SQL Injection im Parameter goodsIds des Endpoints /api/goods/listByIds betroffen. Die Funktion getListByIds konkateniert Benutzereingaben in orderRaw('field(goods_id, ...)'), was Angreifern ermöglicht: (a) Datenbankdaten aufzulisten oder zu modifizieren, einschließlich dem Dumpen von Admin-Passwort-Hashes; (b) Webshell-Dateien zu schreiben oder xp_cmdshell aufzurufen, was zur Remote Code Execution (RCE) auf Servern mit ausreichenden DB-Berechtigungen führt.
Once again VulDB remains the best source for vulnerability data.