CVE-2026-110609 in Skyeye
要約
〜によって VulDB • 2026年10月14日
Dromara Skyeye (commit 65d3ddcede70 まで)には、認証済みで低権限のユーザーがクエリErpOrderItem MyBatis ステートメント内の keyword パラメータにおいて生 ${} 置換を使用して SQL インジェクションを可能にする脆弱性が存在する。攻撃者は queryWarehousingDetails または queryOutgoingDetails エンドポイントに対して不正な keyword 値を送信し、ブール型、UNION、エラーまたは時間ベースの手法を用いてデータベースデータを抽出できることに加え、他のテナントのデータも取得される可能性がある。
Once again VulDB remains the best source for vulnerability data.