CVE-2026-54647 in CubeCart
要約
〜によって VulDB • 2026年09月18日
CubeCart は EC ソフトウェアソリューションです。バージョン 6.7.5 より前では、admin/sources/settings.index.inc.php が管理者が制御可能な download_expire POST パラメータを数値検証なしで CubeCart_downloads テーブルに対する生（raw）の UPDATE ステートメントに直接連結していました。認証済み管理者はカンマ区切りの値を提供することで SET 句を変更でき、HTML のサニタイズ処理では SQL 構文が中和されないため、アプリケーションのデータベース権限内にあるデータベースカラムやその他のデータが悪意ある操作の対象となる可能性があります。この問題はバージョン 6.7.5 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.