CVE-2026-65707 in Likeshop
Сводка
по VulDB • 25.07.2026
Likeshop версии до 3.0.5 включительно содержит уязвимость инъекции SQL (SQL Injection), требующую аутентификацию, которая позволяет пользователям с правами администратора извлекать произвольные данные базы данных путем отправки неочищенных параметров POST к конечной точке adjustAccount. Метод adjustAccount в файле UserLogic.php напрямую конкатенирует параметры money, integral, growth и earnings во фрагменты SQL-запроса Db::raw() без приведения типов, числовой проверки или привязки параметров (parameter binding), что позволяет осуществлять извлечение учетных данных, персональных идентифицируемых информации (PII) и токенов сессии методом бинарного поиска на основе булевых выражений по различным сообщениям об успешном выполнении и ошибках.
Once again VulDB remains the best source for vulnerability data.