CAPEC-110ДетальныйЧерновик
Внедрение SQL-кода через подмену параметров SOAP
Злоумышленник изменяет параметры SOAP-сообщения, направляемого от потребителя сервиса к поставщику, с целью осуществления атаки путём внедрения SQL-кода. На стороне поставщика SOAP-сообщение анализируется, а параметры перед использованием для обращения к базе данных не проходят надлежащую проверку и не используют привязку параметров, что позволяет злоумышленнику управлять структурой выполняемого SQL-запроса. Данный шаблон описывает атаку с внедрением SQL-кода, где средством доставки служит SOAP-сообщение.
Открыть в каталоге с фильтром CAPEC →Связанные CWE
Связанные уязвимости
CVE-2026-8054Неправильная нейтрализация специальных элементов, используемых в SQL Command («SQL Injection») в конечных точках Publish Audit API (/api/auditPublishing/get» (/awi/auditPublishing/getAll) в dotCMS Core 25.11.04-1 до 26.04.28-02, позволяет удаленным неаутентифицированным злоумышленникам читать, изменять Конечные точки не обеспечивали аутентификацию и принимали несанитарный ввод, используемый в динамически построенном SQL. Исправление в dotCMS Core 26.04.28-03 требует аутентифицированного бэкэнд-пользователя с разрешения портлета издательской очереди. Освобождения LTS не затрагиваются, поскольку уязвимый путь кода никогда не был подтвержден.
CVE-2026-47928Версии ColdFusion 2023.19, 2025.8 и ранее подвержены влиянию неправильной валидации входа, которая может привести к произвольному исполнению кода в контексте текущего пользователя. Эксплуатация этой проблемы не требует взаимодействия с пользователем. Сфера охвата изменена.
CVE-2026-42287Emlog - это система построения сайтов с открытым исходным кодом. До версии 2.6.11 прямой инъекции SQL в функции создания и обновления статей позволяет злоумышленникам выполнять произвольные команды SQL, что потенциально приводит к полному компрометированию базы данных, краже данных или уничтожению системы. Этот вопрос был исправлен в версии 2.6.11.
CVE-2026-34910Выполнение произвольного кода в UniFi OS Server
CVE-2026-3325SQL инъекция (SQLi) в MegaCMS v12.0.0, в частности, в параметре 'id_territorio" конечной точки "/web_comunications/cms/get_provincias". Уязвимость возникает из-за неадекватной валидации и санации пользовательского ввода. В частности, через запрос POST параметр «id_territorio», используемый сразу после подачи регистрационной формы, может быть манипулирован неаутентифицированным злоумышленником для выполнения произвольных запросов SQL.
CVE-2026-21858Получение конфиденциальной информации в n8n
CVE-2026-0848Версии NLTK <=3.9.2 уязвимы для произвольного выполнения кода из-за неправильной валидации ввода в модуле StanfordSegmenter. Модуль динамически загружает внешние файлы Java .jar без проверки или песочницы. Злоумышленник может поставлять или заменять JAR-файл, что позволяет выполнять произвольный байт-код Java в момент импорта. Эта уязвимость может быть использована с помощью таких методов, как отравление моделей, атаки MITM или отравление зависимостей, что приводит к удаленному исполнению кода. Проблема возникает из-за прямого исполнения файла JAR через подпроцесс с непроверенным вводом по пути по классу, что позволяет вредоносным классам выполнять при загрузке JVM.
CVE-2025-65091XWiki Full Calendar Macro отображает объекты из вики в календаре. До версии 2.4.5 пользователи, имеющие право просматривать страницу Calendar.JSONService (включая приглашенных пользователей), могут использовать уязвимость инъекций SQL, получив доступ к информации о базе данных или начав DoS-атаку. Эта проблема была исправлена в версии 2.4.5.
CVE-2025-63689Множественные винтационные уязвимости SQL в системе ycf1998 money-pos перед выполнением 11f276bd20a41f089298d804d804cb1cb1c39d04e015e59 (2025-09-14) позволяет удаленному злоумышленнику выполнять произвольный код через параметр заказа
CVE-2025-57870В версиях Esri ArcGIS Server 11.3, 11.4 и 11.5 (Windows, Linux, Kubernetes) обнаружена уязвимость типа SQL‑инъекция, позволяющая удалённому неаутентифицированному злоумышленнику выполнять произвольные SQL‑команды через определённую операцию ArcGIS Feature Service. При успешной эксплуатации возможен несанкционированный доступ, изменение или удаление данных из корпоративной геодатабазы. Эта уязвимость устраняется критическим патчем, выпущенным 7 октября 2025 г., который следует установить как можно быстрее; патч не является кумулятивным и не требует наличия других обновлений. Для систем, доступных из Интернета, рекомендуется применить обновленные правила Web Application Firewall (WAF) от Esri (версия 2.2.3), охватывающие как GET, так и POST‑запросы. Патч не затрагивает функции сервисов, использующие только хост‑слои, и не влияет на версии ArcGIS Server 11.2 и более ранние, а также не будет затронут в будущих версиях 12 и выше. Пользователям Kubernetes рекомендуется обновиться до версии 11.5, поскольку для 11.3 и 11.4 патча нет. Информация из источника [1].
Источники:
- [1] https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/arcgis-server-feature-services-security-patch
CVE-2025-57819FreePBX — это открытый веб‑интерфейс графического управления. Уязвимость затрагивает модуль «endpoint» в версиях FreePBX 15, 16 и 17, где пользовательские данные недостаточно экранируются, что позволяет неавторизованному атакующему получить доступ к панели администратора FreePBX, произвести произвольные изменения в базе данных и выполнить удалённый код (RCE). Уязвимость раскрыта в начале августа 2025 года, когда злоумышленники использовали ошибку валидации входных параметров модуля endpoint для доступа к системе, выставив её в публичный Интернет без ограничений IP‑фильтрации (подробности в [1] и [2]).
Для защиты рекомендуется немедленно обновить модуль до исправленных версий 15.0.66, 16.0.89 или 17.0.3 (пакет endpoint в стабильных репозиториях). Обновление можно выполнить через веб‑интерфейс администратор → Module Admin или командой:
$ fwconsole ma upgradeall
или, при необходимости, скачав конкретную версию:
$ fwconsole ma downloadinstall endpoint --tag 16.0.89
$ fwconsole ma downloadinstall endpoint --tag 17.0.3
Также следует ограничить доступ к администраторскому интерфейсу с помощью модуля Firewall (разрешить только известные IP), проверить отсутствие файлов‑мусора, например /var/www/html/.clean.sh, и отследить POST‑запросы к modular.php в журналах веб‑сервера (zgrep modular.php /var/log/{httpd,apache2}/*access*). При обнаружении следов эксплуатации рекомендуется выполнить процедуры восстановления, включая резервное копирование, переустановку системы и ротацию всех учётных данных.
Источники:
- [1] https://github.com/FreePBX/security-reporting/security/advisories/GHSA-m42g-xg4c-5f3h
- [2] https://community.freepbx.org/t/security-advisory-please-lock-down-your-administrator-access/107203
CVE-2025-57792Исследующие синие версии до 8.14.9 содержат уязвимость инъекций SQL, вызванную недостаточной валидацией пользовательского ввода в конечной точке веб-приложения. Злоумышленник может предоставить созданный ввод, который выполняется как часть запросов бэкэнд-ба данных. Проблема эксплуатируется без аутентификации, что значительно повышает риск.
CVE-2025-54119ADOdb - это библиотека классов баз данных PHP, которая предоставляет абстракции для выполнения запросов и управления базами данных. В версиях 5.22.9 и ниже неправильный выход параметра запроса может позволить злоумышленнику выполнять произвольные SQL-высказывателей, когда код с использованием ADOdb подключается к базе данных sqlite3 и вызывает методы metaColumns(), metaForeignKeys() или metaIndexes() с созданным названием таблицы. Это исправлено в версии 5.22.10. Чтобы обойти эту проблему, передайте только контролируемые данные в метаКолумы (), metaForeignKeys() и метаIndexes() метод $таблицу.
CVE-2025-53823В системе управления WeGIA до версии 3.4.5 обнаружена уязвимость SQL-инъекции в параметре id_socio на эндпоинте /WeGIA/html/socio/sistema/processa_deletar_socio.php. Это позволяет выполнять произвольные SQL-команды и компрометировать данные. Проблема исправлена в версии 3.4.5. Источники: [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-p8xr-qg3c-6ww2
Источники:
- [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-p8xr-qg3c-6ww2
CVE-2025-53091WeGIA - это веб-менеджер с открытым исходным кодом с акцентом на португальский язык и благотворительные учреждения. Уязвимость слепой SQL Injection на основе Time-Based была обнаружена в версии 3.3.3 параметр almox конечной точки `/controle/getProdutosPorAlmox.php`. Эта проблема позволяет любому неаутентифицированному злоумышленнику вводить произвольные SQL-запросы, что может привести к несанкционированному доступу к данным или дальнейшей эксплуатации в зависимости от конфигурации базы данных. Версия 3.4.0 исправляет проблему.