CVE-2026-78837

विवरण

AppNitro MachForm v30 में ap_form_{id} पैरामीटर में एक SQL इंजेक्शन भेद्यता हमलावरों को एक क्राफ्टेड SQL स्टेटमेंट के माध्यम से संवेदनशील डेटाबेस जानकारी तक पहुंचने की अनुमति देती है।

प्रभावित घटक

MachForm - संस्करण 30 पर परीक्षण किया गया

हमले का प्रकार

रिमोट

हमले के वेक्टर

एक अनप्रमाणित हमलावर grid_datasource.php में filter[filters][0][field] पैरामीटर में इंजेक्ट कर सकता है ताकि ap_form_{id} तालिका में मान्य कॉलम नामों की गणना की जा सके।

जोखिम

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P (6.9 / मध्यम)

संदर्भ

https://<application-baseurl>/grid_datasource.php?key={form_id}x{widget_key}&filter[filters][0][field]=element_1&filter[filters][0][operator]=contains&filter[filters][0][value]=%25

शोधकर्ता

नबील खान - NCCGroup