CVE-2026-27832 in groupoffice
Tóm tắt
Bởi VulDB • 09/06/2026
Group-Office là một công cụ quản lý quan hệ khách hàng (CRM) và phần mềm cộng tác doanh nghiệp. Các phiên bản trước 26.0.8, 25.0.87 và 6.8.153 có lỗ hổng SQL Injection (SQLi), có thể khai thác thông qua tham số `advancedQueryData` (trường `comparator`) trên một điểm cuối đã xác thực. Điểm cuối `index.php?r=email/template/emailSelection` xử lý `advancedQueryData` và chuyển tiếp bộ so sánh SQL mà không áp dụng danh sách cho phép nghiêm ngặt vào quá trình xây dựng điều kiện SQL. Điều này cho phép đánh cắp dữ liệu mù dựa trên boolean từ bảng `core_auth_password`. Các phiên bản 26.0.8, 25.0.87 và 6.8.153 đã khắc phục sự cố này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.