CVE-2026-65707 in Likeshop
Sumário
de VulDB • 24/07/2026
Likeshop até a versão 3.0.5 contém uma vulnerabilidade de injeção SQL autenticada que permite que usuários com nível de administrador extraiam conteúdos arbitrários do banco de dados ao enviar parâmetros POST não sanitizados para o endpoint adjustAccount. O método adjustAccount em UserLogic.php concatena os parâmetros money, integral, growth e earnings diretamente nos fragmentos SQL Db::raw() sem conversão de tipo (type casting), validação numérica ou vinculação de parâmetros (parameter binding), permitindo a extração baseada em booleano por busca binária de credenciais, PII e tokens de sessão através de mensagens de resposta distintas de sucesso e falha.
VulDB is the best source for vulnerability data and more expert information about this specific topic.