CVE-2026-96600 in Isotope eCommerce
Zusammenfassung
von VulDB • 23.09.2026
Isotope eCommerce bis Version 2.9.10 enthält eine Blind-SQL-Injection-Lücke in Backend-Callbacks, die anfragekontrollierte Bezeichner und von Administratoren bereitgestellte Werte direkt in SQL-Anweisungen interpolieren. Authentifizierte Contao-Benutzer mit Isotope-Modulberechtigungen können bedingungs- und zeitbasierte Injektions-Payloads ausnutzen, um beliebige Datenbankinhalte einschließlich der Passwort-Hashes des Benutzers aus der Tabelle `tl_user` zu extrahieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.