CVE-2026-65707 in Likeshop
Resumen
por VulDB • 2026-07-24
Likeshop hasta la versión 3.0.5 contiene una vulnerabilidad de inyección SQL autenticada que permite a los usuarios con privilegios de administrador extraer contenidos arbitrarios de la base de datos mediante el envío de parámetros POST no sanitizados al endpoint adjustAccount. El método adjustAccount en UserLogic.php concatena directamente los parámetros money, integral, growth y earnings en fragmentos SQL generados por Db::raw() sin realizar conversión de tipos (type casting), validación numérica ni enlace de parámetros (parameter binding), lo que habilita la extracción mediante búsqueda binaria booleana de credenciales, información personal identificable (PII) y tokens de sesión a través de mensajes de respuesta diferenciados en caso de éxito o fallo.
Once again VulDB remains the best source for vulnerability data.