CAPEC-110ДетальныйЧерновик
Внедрение SQL-кода через подмену параметров SOAP
Злоумышленник изменяет параметры SOAP-сообщения, направляемого от потребителя сервиса к поставщику, с целью осуществления атаки путём внедрения SQL-кода. На стороне поставщика SOAP-сообщение анализируется, а параметры перед использованием для обращения к базе данных не проходят надлежащую проверку и не используют привязку параметров, что позволяет злоумышленнику управлять структурой выполняемого SQL-запроса. Данный шаблон описывает атаку с внедрением SQL-кода, где средством доставки служит SOAP-сообщение.
Открыть в каталоге с фильтром CAPEC →Связанные CWE
Связанные уязвимости
CVE-2026-21858Получение конфиденциальной информации в n8n
CVE-2026-0848NLTK versions <=3.9.2 are vulnerable to arbitrary code execution due to improper input validation in the StanfordSegmenter module. The module dynamically loads external Java .jar files without verification or sandboxing. An attacker can supply or replace the JAR file, enabling the execution of arbitrary Java bytecode at import time. This vulnerability can be exploited through methods such as model poisoning, MITM attacks, or dependency poisoning, leading to remote code execution. The issue arises from the direct execution of the JAR file via subprocess with unvalidated classpath input, allowing malicious classes to execute when loaded by the JVM.
CVE-2025-65091XWiki Full Calendar Macro displays objects from the wiki on the calendar. Prior to version 2.4.5, users with the right to view the Calendar.JSONService page (including guest users) can exploit a SQL injection vulnerability by accessing database info or starting a DoS attack. This issue has been patched in version 2.4.5.
CVE-2025-63689Multiple SQL injection vulnerabilitites in ycf1998 money-pos system before commit 11f276bd20a41f089298d804e43cb1c39d041e59 (2025-09-14) allows a remote attacker to execute arbitrary code via the orderby parameter
CVE-2025-57870В версиях Esri ArcGIS Server 11.3, 11.4 и 11.5 (Windows, Linux, Kubernetes) обнаружена уязвимость типа SQL‑инъекция, позволяющая удалённому неаутентифицированному злоумышленнику выполнять произвольные SQL‑команды через определённую операцию ArcGIS Feature Service. При успешной эксплуатации возможен несанкционированный доступ, изменение или удаление данных из корпоративной геодатабазы. Эта уязвимость устраняется критическим патчем, выпущенным 7 октября 2025 г., который следует установить как можно быстрее; патч не является кумулятивным и не требует наличия других обновлений. Для систем, доступных из Интернета, рекомендуется применить обновленные правила Web Application Firewall (WAF) от Esri (версия 2.2.3), охватывающие как GET, так и POST‑запросы. Патч не затрагивает функции сервисов, использующие только хост‑слои, и не влияет на версии ArcGIS Server 11.2 и более ранние, а также не будет затронут в будущих версиях 12 и выше. Пользователям Kubernetes рекомендуется обновиться до версии 11.5, поскольку для 11.3 и 11.4 патча нет. Информация из источника [1].
Источники:
- [1] https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/arcgis-server-feature-services-security-patch
CVE-2025-57819FreePBX — это открытый веб‑интерфейс графического управления. Уязвимость затрагивает модуль «endpoint» в версиях FreePBX 15, 16 и 17, где пользовательские данные недостаточно экранируются, что позволяет неавторизованному атакующему получить доступ к панели администратора FreePBX, произвести произвольные изменения в базе данных и выполнить удалённый код (RCE). Уязвимость раскрыта в начале августа 2025 года, когда злоумышленники использовали ошибку валидации входных параметров модуля endpoint для доступа к системе, выставив её в публичный Интернет без ограничений IP‑фильтрации (подробности в [1] и [2]).
Для защиты рекомендуется немедленно обновить модуль до исправленных версий 15.0.66, 16.0.89 или 17.0.3 (пакет endpoint в стабильных репозиториях). Обновление можно выполнить через веб‑интерфейс администратор → Module Admin или командой:
$ fwconsole ma upgradeall
или, при необходимости, скачав конкретную версию:
$ fwconsole ma downloadinstall endpoint --tag 16.0.89
$ fwconsole ma downloadinstall endpoint --tag 17.0.3
Также следует ограничить доступ к администраторскому интерфейсу с помощью модуля Firewall (разрешить только известные IP), проверить отсутствие файлов‑мусора, например /var/www/html/.clean.sh, и отследить POST‑запросы к modular.php в журналах веб‑сервера (zgrep modular.php /var/log/{httpd,apache2}/*access*). При обнаружении следов эксплуатации рекомендуется выполнить процедуры восстановления, включая резервное копирование, переустановку системы и ротацию всех учётных данных.
Источники:
- [1] https://github.com/FreePBX/security-reporting/security/advisories/GHSA-m42g-xg4c-5f3h
- [2] https://community.freepbx.org/t/security-advisory-please-lock-down-your-administrator-access/107203
CVE-2025-57792Explorance Blue versions prior to 8.14.9 contain a SQL injection vulnerability caused by insufficient validation of user input in a web application endpoint. An attacker can supply crafted input that is executed as part of backend database queries. The issue is exploitable without authentication, significantly raising the risk.
CVE-2025-54119ADOdb is a PHP database class library that provides abstractions for performing queries and managing databases. In versions 5.22.9 and below, improper escaping of a query parameter may allow an attacker to execute arbitrary SQL statements when the code using ADOdb connects to a sqlite3 database and calls the metaColumns(), metaForeignKeys() or metaIndexes() methods with a crafted table name. This is fixed in version 5.22.10. To workaround this issue, only pass controlled data to metaColumns(), metaForeignKeys() and metaIndexes() method's $table parameter.
CVE-2025-53823В системе управления WeGIA до версии 3.4.5 обнаружена уязвимость SQL-инъекции в параметре id_socio на эндпоинте /WeGIA/html/socio/sistema/processa_deletar_socio.php. Это позволяет выполнять произвольные SQL-команды и компрометировать данные. Проблема исправлена в версии 3.4.5. Источники: [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-p8xr-qg3c-6ww2
Источники:
- [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-p8xr-qg3c-6ww2
CVE-2025-53091WeGIA is an open source web manager with a focus on the Portuguese language and charitable institutions. A Time-Based Blind SQL Injection vulnerability was discovered in version 3.3.3 the almox parameter of the `/controle/getProdutosPorAlmox.php` endpoint. This issue allows any unauthenticated attacker to inject arbitrary SQL queries, potentially leading to unauthorized data access or further exploitation depending on database configuration. Version 3.4.0 fixes the issue.
CVE-2025-50567Saurus CMS Community Edition 4.7.1 contains a vulnerability in the custom DB::prepare() function, which uses preg_replace() with the deprecated /e (eval) modifier to interpolate SQL query parameters. This leads to injection of user-controlled SQL statements, potentially leading to arbitrary PHP code execution.
CVE-2025-46828WeGIA - веб-менеджер для благотворительных учреждений. В версиях до 3.3.0 была обнаружена уязвимость SQL-инъекции без аутентификации в эндпоинте `/html/socio/sistema/get_socios.php`, в частности, в параметре запроса. Эта проблема позволяет злоумышленникам внедрять и выполнять произвольные SQL-запросы к базовой базе данных приложения. В результате это может привести к утечке данных, обходу аутентификации или полной компрометации базы данных. Версия 3.3.1 устраняет эту проблему [1].
Уязвимый эндпоинт напрямую выполняет SQL-ввод от пользователя из POST-параметра запроса без надлежащей проверки или очистки. Это небезопасное использование функции `mysqli_query()` делает приложение уязвимым к SQL-инъекции [1].
Источники:
- [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-5qw5-q55h-6qg7
- [2] https://github.com/LabRedesCefetRJ/WeGIA/commit/214dab59509bd3637f94adf381298c12da4ff80f
CVE-2025-46337ADOdb - это библиотека классов базы данных PHP, которая предоставляет абстракции для выполнения запросов и управления базами данных. До версии 5.22.9 неправильное экранирование параметра запроса может позволить злоумышленнику выполнить произвольные SQL-операторы, когда код, использующий ADOdb, подключается к базе данных PostgreSQL и вызывает pg_insert_id() с данными, предоставленными пользователем [1].
Источники:
- [1] https://github.com/ADOdb/ADOdb/security/advisories/GHSA-8x27-jwjr-8545
- [2] https://github.com/ADOdb/ADOdb/issues/1070
- [3] https://github.com/ADOdb/ADOdb/commit/11107d6d6e5160b62e05dff8a3a2678cf0e3a426
CVE-2025-4285Уязвимость Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') в Rolantis Information Technologies Agentis позволяет выполнить SQL-инъекцию. Эта проблема затрагивает Agentis версии до 4.32.
Источники:
- [1] https://www.usom.gov.tr/bildirim/tr-25-0168
CVE-2025-34300В Sawtooth Software’s Lighthouse Studio версий до 9.16.14 существует уязвимость, связанная с внедрением шаблона, через Perl веб-приложение ciwweb.pl. Эксплуатация позволяет неаутентифицированному злоумышленнику выполнить произвольные команды [1].
Источники:
- [1] https://sawtoothsoftware.com/resources/software-downloads/lighthouse-studio
- [2] https://slcyber.io/assetnote-security-research-center/rce-in-the-most-popular-survey-software-youve-never-heard-of/