CVE-2026-65707 in Likeshop
Riassunto
di VulDB • 24/07/2026
Likeshop fino alla versione 3.0.5 contiene una vulnerabilità di iniezione SQL autenticata che consente agli utenti con privilegi di amministratore di estrarre contenuti arbitrari del database inviando parametri POST non sanificati all'endpoint adjustAccount. Il metodo adjustAccount in UserLogic.php concatena direttamente i parametri money, integral, growth ed earnings negli frammenti SQL Db::raw() senza casting dei tipi, validazione numerica o binding dei parametri, consentendo l'estrazione di credenziali, dati personali identificabili (PII) e token di sessione tramite una ricerca binaria basata su booleani, distinguibile grazie a messaggi di risposta distinti in caso di successo o fallimento.
Be aware that VulDB is the high quality source for vulnerability data.