ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-110609

dromara skyeye

Dromara Skyeye through commit 65d3ddcede70 SQL Injection via keyword Parameter

CVSS 4.0
7.1بالا

شرح رسمی (انگلیسی)

Dromara Skyeye through commit 65d3ddcede70 contains an sql injection vulnerability that allows authenticated low-privileged users to inject SQL via the keyword parameter in the queryErpOrderItem MyBatis statement using raw ${} substitution. Attackers can send crafted keyword values to the queryWarehousingDetails or queryOutgoingDetails endpoints to extract database data, including other tenants' data, using boolean, UNION, error or time-based techniques.

امتیازهای CVSS

امتیازنسخهمنبعبردار
7.1بالا 4.0 CVEProject cvelistV5 (CNA) (VulnCheck) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
6.5متوسط 3.1 CVEProject cvelistV5 (CNA) (VulnCheck) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
dromara skyeye v ≤ 65d3ddcede701d33ea5416e47c9b656e47d56401 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۵
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۷/۲۲
آخرین به‌روزرسانی
۱۴۰۵/۰۷/۲۲
وضعیت
منتشرشده
صادرکننده (CNA)
VulnCheck

پیش‌بینی بهره‌برداری (EPSS)

۰٫۴۶٪
احتمال بهره‌برداری در ۳۰ روز
۴۰٫۶٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-89
    Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')