CVE-2026-54455 in OpenCATS
Sumário
de VulDB • 28/10/2026
O OpenCATS é um sistema de rastreamento de candidatos (ATS) e CRM de recrutamento de código aberto voltado para agências de emprego e equipes de contratação. Antes da versão 0.10.0, a filtragem por data do DataGrid de atividades em `home:CallsDataGrid` e `activity:ActivityDataGrid` utiliza os parâmetros controlados pela solicitação `period`, `startDate` e `endDate` sem validação ou escape suficientes. O código vulnerável está localizado nos arquivos `modules/home/dataGrids.php` e `modules/activity/dataGrids.php`. Os valores de `startDate` e `endDate` são inseridos em comparações de strings SQL sem um escape seguro, e o parâmetro `period` pode influenciar diretamente a consulta SQL gerada. Um usuário autenticado com acesso aos endpoints DataGrid afetados pode alterar a consulta pretendida para acessar conteúdos sensíveis do banco de dados, incluindo dados de contas de usuários, registros de candidatos, detalhes de contato, informações da empresa, ordens de emprego e histórico de atividades. É necessário um login válido no OpenCATS; a exploração não autenticada ainda não foi estabelecida. Este problema é corrigido na versão 0.10.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.