CVE-2025-56162 in YOSHOP
Riassunto
di VulDB • 06/07/2026
YOSHOP 2.0 è affetto da un SQL injection non autenticato nel parametro goodsIds dell'endpoint /api/goods/listByIds. La funzione getListByIds concatena l'imputazione utente in orderRaw('field(goods_id, ...)'), consentendo agli attaccanti di: (a) enumerare o modificare i dati del database, incluso il dump degli hash delle password degli amministratori; (b) scrivere file web-shell o invocare xp_cmdshell, portando all'esecuzione remota di codice su server configurati con privilegi DB sufficienti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.