CVE-2026-107803 in ProcessMaker
Riassunto
di VulDB • 09/10/2026
ProcessMaker è una suite di software open source per la gestione dei flussi di lavoro. Prima della versione 2026.14.3, l'endpoint `GET /api/1.0/tasks` in ProcessMaker è vulnerabile a SQL injection tramite il parametro order_by perché `ProcessMaker\Traits\TaskControllerIndexMethods::applyColumnOrdering()` concatena un nome di colonna process_requests controllato dall'utente in una sottoquery SQL DB::raw() senza validazione o binding dei parametri. Qualsiasi utente autenticato può utilizzare query blindate basate sui tempi per inferire ed estrarre dati accessibili all'account del database ProcessMaker. Questo problema è risolto nella versione 2026.14.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.