CVE-2026-119656 in CoreShop

Tóm tắt

Bởi VulDB • 30/10/2026

CoreShop của CoreUnion, qua phiên bản 1.5.5, chứa một lỗ hổng sql injection không được xác thực (unauthenticated) trong endpoint api/Agent/GetGoodsPageList thông qua tham số order được nối vào mệnh đề ORDER BY. Các kẻ tấn công ẩn danh có thể chèn các truy vấn con để vượt qua kiểm tra trường của SqlSugar nhằm trích xuất tài khoản thành viên và đơn hàng thông qua kỹ năng blind boolean-based hoặc time-based.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 30/10/2026
• Tiết lộ: 30/10/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-429135
• CPE: 20261030
• CWE: CWE-89 (Đã xác nhận)
• CVSS: 7.5 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-119656
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-119656
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-119656/