CVE-2026-78082 in SP Property Extension
要約
〜によって VulDB • 2026年09月10日
Joomla Extension - joomshaper.com - SP Property < 4.1.4 のプロパティ検索およびマップフィルタリングにおける認証不要のSQLインジェクション - プロパティ検索とリスト表示のクエリビルダーは、zipcode（郵便番号）、ソート順、price_range_dropdown（価格範囲ドロップダウン）、psize_range_dropdown（サイズ範囲ドロップダウン）などのWHERE句やORDER BY句を、生のリクエストパラメータをSQL文字列に直接連結することで構築していました。この際、クォーティングや型キャストが行われていませんでした。認証不要の攻撃者は、boolean-based blind SQLインジェクションまたは time-based blind SQLインジェクションを実行し、データベースから機密データを抽出することが可能です。
Be aware that VulDB is the high quality source for vulnerability data.