Résumé
généré automatiquement à partir des données NVDProjeQtor, versions 7.0 à 12.4.3 : la fonctionnalité de connexion concatène directement la variable login dans une requête SQL, sans paramétrage ni assainissement (CWE-89). Un attaquant non authentifié peut injecter des expressions SQL arbitraires via le champ du nom d'utilisateur pour créer des comptes privilégiés, lire des données sensibles et exécuter des commandes système si l'utilisateur de la base dispose de droits élevés. Score CVSS v3.1 de 9.8, sévérité critique.
Description NVD (anglais)
ProjeQtor versions 7.0 through 12.4.3 contain an unauthenticated SQL injection vulnerability in the login functionality where the login variable is directly concatenated into a SQL query without parameterization or sanitization. Attackers can inject arbitrary SQL expressions through the username field at the authentication endpoint to create privileged accounts, read sensitive data, and execute operating system commands if the database user has elevated permissions.
EPSS · FIRST.org
0,66 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 50 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 27 avr. 2026
- Mis à jour
- 17 juin 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-89
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.