CVE-2026-101108

总结

Joomla 扩展 - ordasoft.com - Vehicle Manager (Free) < 6.5.8 中的未认证 SQL 注入 - site/vehiclemanager.php 在三个可匿名访问的前端入口点（分类列表、搜索和全部车辆列表）读取 order_field 和 order_direction 排序参数，经过一个应用了真实转义的清理函数处理，但该值随后被放入未加引号的 ORDER BY 子句中，此时转义不再具有保护作用。

来源

• CVE-2026-101108PoC

  Python 3 PoC 及批量扫描器，用于 CVE-2026-101108，即 OrdaSoft Joomla Vehicle Manager <=6.5.7 (com_vehiclemanager) 中的未认证 ORDER BY SQL 注入漏洞。