CVE-2026-55871 in GYM-One
摘要
由 VulDB • 2026-10-15
GYM One 是一款面向健身中心、私人教练和体育俱乐部的开源健身房管理软件。在版本 1.4.1 之前，GYM One 的 admin/users/index.php 将 search_name 和 search_email GET 参数直接拼接到用户列表查询以及用于分页的 COUNT 查询中，且未使用预编译语句（prepared statements）。经过身份验证的管理员可以通过任一搜索字段注入 SQL，从而读取任意表中的数据，包括用户信息和密码哈希。根据数据库权限的不同，相同的注入攻击还可能允许进行文件系统写入。该问题已在版本 1.4.1 中得到修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.