CVE-2026-100752
Joomla एक्सटेंशन - ordasoft.com - Real Estate Manager (Free) < 6.7.9 में अनधिकृत SQL इंजेक्शन
- प्रकाशित
- 28 सित॰ 2026
- अद्यतन
- 30 सित॰ 2026
- सीएनए असाइन करना
- Joomla
- साक्ष्य देखे गए
- 3 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 20.1%
- मॉडल दिनांक
- 25 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Joomla एक्सटेंशन - ordasoft.com - Real Estate Manager (Free) < 6.7.9 में अनधिकृत SQL इंजेक्शन - site/realestatemanager.php तीन अलग-अलग फ्रंटएंड प्रॉपर्टी-लिस्टिंग क्वेरीज़ (श्रेणी ब्राउज़िंग, सर्च परिणाम, और पूरी प्रॉपर्टी लिस्टिंग) के ORDER BY क्लॉज़ को एक रिक्वेस्ट-नियंत्रित order_field पैरामीटर से बनाता है, जिसे बिना किसी वास्तविक कॉलम नाम की allow-list और बिना किसी कास्ट के सीधे एक अनकोटेड SQL क्लॉज़ में जोड़ा जाता है।
स्रोत
Python 3 PoC और CVE-2026-100752 के लिए मास एक्सप्लॉइट, जो OrdaSoft Joomla Real Estate Manager <=6.7.8 में order_field ORDER BY पैरामीटर के माध्यम से एक अनधिकृत SQL इंजेक्शन है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।