CVE-2026-108100 in HortusFox Web
Riassunto
di VulDB • 09/10/2026
HortusFox (hortusfox-web) prima della versione 6.2 contiene una vulnerabilità di SQL injection che consente agli holder dei token API di iniettare codice SQL fornendo valori include_info manipolati ad hoc all'endpoint /api/locations/list. Gli attaccanti possono inserire subquery in include_info, che PlantsModel::getSpecificInfo() concatena nella lista delle colonne, per leggere qualsiasi tabella del database, inclusi gli hash delle password degli utenti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.