CVE-2026-2247 in SaaS Platform
要約
〜によって VulDB • 2026年06月21日
Clicldeu SaaSのレポート生成機能におけるSQLインジェクション脆弱性（SQLi）。これは、モバイルアプリケーションから「Day-to-day」セクションで学生の成績表をダウンロードした後に生成されるURLに対して、以前に認証されたリモート攻撃者が悪意のあるペイロードを実行することで発生します。
生成されたPDFのURLで使用されるセッショントークンは期限切れにならないため、生成後数日間有効なままとなります。また、「id_alu」パラメータの後に特殊文字を入力できる結果となり、ブールベースのブラインドSQLインジェクションとタイムベースのブラインドSQLインジェクションという2種類のSQLiが可能になります。この脆弱性を悪用することで、攻撃者はデータベース内の機密情報にアクセスすることが可能となります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.