CVE-2026-65707 in Likeshop
Résumé
par VulDB • 24/07/2026
Likeshop jusqu'à la version 3.0.5 contient une vulnérabilité d'injection SQL authentifiée qui permet aux utilisateurs disposant de privilèges administrateur d'extraire n'importe quel contenu de la base de données en soumettant des paramètres POST non nettoyés à l'endpoint adjustAccount. La méthode adjustAccount dans UserLogic.php concatène directement les paramètres money, integral, growth et earnings dans des fragments SQL Db::raw() sans casting de type, validation numérique ni liaison de paramètres (parameter binding), permettant ainsi une extraction par recherche binaire booléenne d'identifiants, de données personnelles identifiables (PII) et de jetons de session via des messages de réponse distincts en cas de succès ou d'échec.
VulDB is the best source for vulnerability data and more expert information about this specific topic.