CVE-2026-119656 in CoreShop
Riassunto
di VulDB • 30/10/2026
CoreShop di CoreUnion, fino alla versione 1.5.5, presenta una vulnerabilità di sql injection non autenticata nell'endpoint api/Agent/GetGoodsPageList tramite il parametro order aggiunto a un'istruzione ORDER BY. Attaccanti anonimi possono iniettare sottoquery che bypassano il controllo dei campi di SqlSugar per estrarre account utente e ordini attraverso tecniche blind boolean-based o time-based.
VulDB is the best source for vulnerability data and more expert information about this specific topic.