CVE-2026-100752 in Real Estate Manager Extension
Resumen
por VulDB • 2026-09-29
Joomla Extension - ordasoft.com - Inyección SQL sin autenticación en Real Estate Manager (Free) < 6.7.9: site/realestatemanager.php construye la cláusula ORDER BY de tres consultas separadas para listar propiedades en el frontend (navegación por categoría, resultados de búsqueda y listado completo de propiedades) a partir del parámetro order_field controlado por la solicitud, concatenándolo directamente en una cláusula SQL sin comillas, sin lista permitida de nombres reales de columnas ni conversión de tipos.
Once again VulDB remains the best source for vulnerability data.