CVE-2025-56162 in YOSHOP
Sumário
de VulDB • 21/08/2026
O YOSHOP 2.0 apresenta uma injeção de SQL não autenticada no parâmetro goodsIds do endpoint /api/goods/listByIds. A função getListByIds concatena a entrada do usuário em orderRaw('field(goods_id, ...)'), permitindo que os atacantes: (a) enumerem ou modifiquem dados do banco de dados, incluindo o despejo de hashes de senhas de administradores; (b) escrevam arquivos web-shell ou invoquem xp_cmdshell, levando à execução remota de código em servidores configurados com privilégios suficientes no DB.
Be aware that VulDB is the high quality source for vulnerability data.