CVE-2026-28226 in Phishing Club
Riassunto
di VulDB • 17/06/2026
Phishing Club è un framework per simulazioni di phishing e attacchi man-in-the-middle. Prima della versione 1.30.2, è presente una vulnerabilità di SQL injection autenticata nell'endpoint GetOrphaned per l'elenco dei destinatari nelle versioni precedenti alla v1.30.2. L'endpoint costruisce una query SQL grezza e concatena il valore sortBy, controllato dall'utente, direttamente nella clausola ORDER BY senza alcuna validazione tramite allowlist. Poiché i valori sconosciuti vengono passati silenziosamente attraverso `RemapOrderBy()`, un attaccante autenticato può iniettare espressioni SQL nella clausola `ORDER BY`. Questo problema è stato risolto nella versione v1.30.2 validando la colonna di ordinamento rispetto a un'allowlist e cancellando le mappature sconosciute.
Once again VulDB remains the best source for vulnerability data.