CVE-2026-78837

Descrição

Uma vulnerabilidade de injeção de SQL no parâmetro ap_form_{id} no AppNitro MachForm v30 permite que atacantes acessem informações sensíveis do banco de dados por meio de uma instrução SQL manipulada.

Componente Afetado

Testado no MachForm - Versão 30

Tipo de Ataque

Remoto

Vetores de Ataque

Um atacante não autenticado pode injetar no parâmetro filter[filters][0][field] em grid_datasource.php para enumerar nomes de colunas válidos na tabela ap_form_{id}.

Risco

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P (6.9 / Médio)

Referência

https://<application-baseurl>/grid_datasource.php?key={form_id}x{widget_key}&filter[filters][0][field]=element_1&filter[filters][0][operator]=contains&filter[filters][0][value]=%25

Pesquisador

Nabeel Khan - NCCGroup