CVE-2025-9140
Shanghai Lingdang Information Technology Lingdang CRM tabdetail_moduleSave.php SQL इंजेक्शन
- प्रकाशित
- 19 अग॰ 2025
- अद्यतन
- 28 अग॰ 2025
- सीएनए असाइन करना
- VulDB
- साक्ष्य देखे गए
- 26 अग॰ 2025
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 41.6%
- मॉडल दिनांक
- 21 सित॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
शंघाई लिंगडांग इंफॉर्मेशन टेक्नोलॉजी Lingdang CRM, संस्करण 8.6.4.7 तक, में एक भेद्यता की पहचान की गई है। इस समस्या से फ़ाइल /crm/crmapi/erp/tabdetail_moduleSave.php की कुछ अज्ञात कार्यक्षमता प्रभावित होती है। getvaluestring तर्क के हेरफेर से SQL injection उत्पन्न होता है। हमले की शुरुआत दूरस्थ रूप से करना संभव है। एक्सप्लॉइट सार्वजनिक रूप से उपलब्ध है और इसका उपयोग किया जा सकता है। संस्करण 8.6.5.4 में अपग्रेड करने से यह समस्या हल हो सकती है। प्रभावित घटक को अपग्रेड किया जाना चाहिए। विक्रेता बताता है: "सभी SQL injection वैक्टरों को v8.6.5+ में पैरामीटराइज़्ड क्वेरी और इनपुट सैनिटाइज़ेशन के माध्यम से पैच किया गया था।"
स्रोत
1- Lingdang CRM 8.6.4.7 - SQL Injectionएक्सप्लॉइट
Beatriz Fresno Naumova · multiple · 26 अग॰ 2025
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।