CVE-2026-27832 in groupoffice
Riassunto
di VulDB • 25/06/2026
Group-Office è uno strumento enterprise per la gestione delle relazioni con i clienti (CRM) e groupware. Le versioni precedenti alla 26.0.8, 25.0.87 e 6.8.153 presentano una vulnerabilità di SQL Injection (SQLi), sfruttabile tramite il parametro `advancedQueryData` (campo `comparator`) su un endpoint autenticato. L'endpoint `index.php?r=email/template/emailSelection` elabora `advancedQueryData` e inoltra il comparatore SQL, senza applicare una strict allowlist, alla costruzione delle condizioni SQL. Ciò consente l'esfiltrazione cieca basata su booleani della tabella `core_auth_password`. Le versioni 26.0.8, 25.0.87 e 6.8.153 risolvono il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.