CVE-2026-63106
Analyse NVD en cours
ReadyEcommerce before 4.5.2 contains an unauthenticated SQL injection vulnerability in the product listing API where the rating parameter from the products endpoint is concatenated directly into a MySQL HAVING clause without parameterization in ProductController.php. Attackers can perform time-based blind SQL injection through the unsanitized rating parameter to extract the full database contents, including user credentials and administrator password hashes, with potential additional file system access due to the database connection running as root.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, sans authentification et sans action de la victime.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et mettre le service hors ligne.
- Faiblesse
- Une entrée non échappée est insérée dans une requête SQL : l’attaquant lit ou modifie la base (injection SQL).
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ corriger sans attendre le prochain cycle de correctifs. Commencer par les instances exposées à Internet.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.