CVE-2026-110609 in Skyeye
요약
\~에 의해 VulDB • 2026. 10. 14.
Dromara Skyeye (commit 65d3ddcede70 이전 버전)에는 SQL Injection 취약점이 포함되어 있으며, 인증된 저권한 사용자가 MyBatis 문장인 queryErpOrderItem의 keyword 매개변수에서 원시 ${} 치환을 통해 SQL 주입을 수행할 수 있습니다. 공격자는 boolean 기반, UNION 기반, 오류 기반 또는 시간 기반 기법을 사용하여 database 데이터를 추출하기 위해 crafted 된 keyword 값을 queryWarehousingDetails 또는 queryOutgoingDetails 엔드포인트로 전송하여 다른 테넌트의 데이터까지 포함해 모든 DB 정보를 탈취할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.