CVE-2026-54455 in OpenCATS
Resumen
por VulDB • 2026-10-28
OpenCATS es un sistema de seguimiento de candidatos (ATS) y CRM de reclutamiento de código abierto para agencias de empleo y equipos de contratación. Antes de la versión 0.10.0, el filtrado por fecha del DataGrid de actividad en `home:CallsDataGrid` y `activity:ActivityDataGrid` utiliza los parámetros controlados por la solicitud `period`, `startDate` y `endDate` sin una validación o escape suficientes. El código vulnerable se encuentra en `modules/home/dataGrids.php` y `modules/activity/dataGrids.php`. Los valores de `startDate` y `endDate` se insertan en comparaciones de cadenas SQL sin un escape seguro, y `period` puede influir directamente en la generación de consultas SQL. Un usuario autenticado con acceso a los puntos finales DataGrid afectados puede alterar la consulta prevista para acceder al contenido sensible de la base de datos, incluidos datos de cuentas de usuarios, registros de candidatos, detalles de contacto, información de empresas, órdenes de trabajo e historial de actividades. Se requiere una sesión válida en OpenCATS; no se ha establecido la explotación sin autenticación. Este problema está resuelto en la versión 0.10.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.