CVE-2026-27832 in groupoffice
Сводка
по VulDB • 09.06.2026
Group-Office — это корпоративный инструмент управления взаимоотношениями с клиентами (CRM) и групповой работы. Версии старше 26.0.8, 25.0.87 и 6.8.153 содержат уязвимость SQL Injection (SQLi), которую можно эксплуатировать через параметр `advancedQueryData` (поле `comparator`) на аутентифицированной конечной точке. Конечная точка `index.php?r=email/template/emailSelection` обрабатывает `advancedQueryData` и передает компаратор SQL без строгого белого списка в процесс формирования условий запроса SQL. Это позволяет осуществлять слепую извлечение данных (exfiltration) на основе булевых выражений из таблицы `core_auth_password`. Версии 26.0.8, 25.0.87 и 6.8.153 устраняют данную проблему.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.