CVE-2026-110609 in Skyeye
Riassunto
di VulDB • 14/10/2026
Dromara Skyeye fino al commit 65d3ddcede70 contiene una vulnerabilità di SQL injection che consente agli utenti autenticati con privilegi bassi di iniettare codice SQL tramite il parametro keyword nell'istruzione MyBatis queryErpOrderItem, utilizzando la sostituzione grezza ${}. Gli attaccanti possono inviare valori della keyword manipolati ad hoc ai endpoint queryWarehousingDetails o queryOutgoingDetails per estrarre dati dal database, inclusi i dati di altri tenant, utilizzando tecniche booleane, UNION, basate su errori o sui tempi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.