CAPEC-7ДетальныйЧерновик
Слепое внедрение SQL-кода
Слепое внедрение SQL-кода является следствием недостаточного противодействия внедрению SQL-кода. Хотя подавление сообщений об ошибках базы данных считается надлежащей практикой, одного лишь подавления недостаточно для предотвращения SQL-инъекций. Слепое внедрение SQL-кода — это форма SQL-инъекции, преодолевающая отсутствие сообщений об ошибках. Не имея сообщений об ошибках, которые облегчают SQL-инъекцию, злоумышленник формирует входные строки, зондирующие цель с помощью простых булевых SQL-выражений. Злоумышленник может определить, было ли синтаксически и структурно корректно выполнено внедрение, на основании того, был ли выполнен запрос. Применяя этот метод итеративно, злоумышленник определяет, как и где цель уязвима к SQL-инъекции.
Открыть в каталоге с фильтром CAPEC →Связанные CWE
CWE-20
Продукт получает входные данные или данные иного рода, однако не проверяет или некорректно проверяет, обладают ли эти данные свойс
CWE-74
Программный продукт формирует команду, структуру данных или запись полностью или частично с использованием входных данных от выш
CWE-89
Продукт формирует команду SQL полностью или частично с использованием внешних входных данных из вышестоящего компонента, но не ней
CWE-209
Продукт формирует сообщение об ошибке, включающее конфиденциальные сведения о его среде, пользователях или связанных данных.
CWE-697
Программный продукт выполняет сравнение двух объектов в контексте, значимом для безопасности, однако сравнение выполняется некор
CWE-707
Программный продукт не обеспечивает или некорректно обеспечивает правильную структуру сообщений или данных и выполнение определ
Связанные уязвимости
CVE-2026-8054Неправильная нейтрализация специальных элементов, используемых в SQL Command («SQL Injection») в конечных точках Publish Audit API (/api/auditPublishing/get» (/awi/auditPublishing/getAll) в dotCMS Core 25.11.04-1 до 26.04.28-02, позволяет удаленным неаутентифицированным злоумышленникам читать, изменять Конечные точки не обеспечивали аутентификацию и принимали несанитарный ввод, используемый в динамически построенном SQL. Исправление в dotCMS Core 26.04.28-03 требует аутентифицированного бэкэнд-пользователя с разрешения портлета издательской очереди. Освобождения LTS не затрагиваются, поскольку уязвимый путь кода никогда не был подтвержден.
CVE-2026-42287Emlog - это система построения сайтов с открытым исходным кодом. До версии 2.6.11 прямой инъекции SQL в функции создания и обновления статей позволяет злоумышленникам выполнять произвольные команды SQL, что потенциально приводит к полному компрометированию базы данных, краже данных или уничтожению системы. Этот вопрос был исправлен в версии 2.6.11.
CVE-2026-34910Вредоносный субъект с доступом к сети может использовать уязвимость валидации неправильных входных данных, обнаруженную в устройствах UniFi OS, для выполнения командной инъекции.
CVE-2026-3325SQL инъекция (SQLi) в MegaCMS v12.0.0, в частности, в параметре 'id_territorio" конечной точки "/web_comunications/cms/get_provincias". Уязвимость возникает из-за неадекватной валидации и санации пользовательского ввода. В частности, через запрос POST параметр «id_territorio», используемый сразу после подачи регистрационной формы, может быть манипулирован неаутентифицированным злоумышленником для выполнения произвольных запросов SQL.
CVE-2026-25586SandboxJS - это библиотека песочницы JavaScript. До 0.8.29 побег из песочницы возможен путем затенения с точки зрения собственности на объекте песочницы, который отключает прототип белого списка на пути доступа к собственности. Это позволяет получить прямой доступ к __proto__ и другим заблокированным свойствам прототипа, что позволяет загрязнять хост Object.prototype и постоянное воздействие поперечного песчаникового отверсту. Эта уязвимость зафиксирована в 0.8.29.
CVE-2026-25520SandboxJS - это библиотека песочницы JavaScript. До 0.8.29 значения возврата функций не обертываются. Object.values/Object.entries можно использовать для получения Массива, содержащего конструктор Функции хоста, с помощью Array.prototype.at вы можете получить конструктор функций хостов, который может быть использован для выполнения произвольного кода за пределами песочницы. Эта уязвимость зафиксирована в пункте 0.8.29.
CVE-2026-21858Получение конфиденциальной информации в n8n
CVE-2026-0848Версии NLTK <=3.9.2 уязвимы для произвольного выполнения кода из-за неправильной валидации ввода в модуле StanfordSegmenter. Модуль динамически загружает внешние файлы Java .jar без проверки или песочницы. Злоумышленник может поставлять или заменять JAR-файл, что позволяет выполнять произвольный байт-код Java в момент импорта. Эта уязвимость может быть использована с помощью таких методов, как отравление моделей, атаки MITM или отравление зависимостей, что приводит к удаленному исполнению кода. Проблема возникает из-за прямого исполнения файла JAR через подпроцесс с непроверенным вводом по пути по классу, что позволяет вредоносным классам выполнять при загрузке JVM.
CVE-2025-65091XWiki Full Calendar Macro отображает объекты из вики в календаре. До версии 2.4.5 пользователи, имеющие право просматривать страницу Calendar.JSONService (включая приглашенных пользователей), могут использовать уязвимость инъекций SQL, получив доступ к информации о базе данных или начав DoS-атаку. Эта проблема была исправлена в версии 2.4.5.
CVE-2025-63689Множественные винтационные уязвимости SQL в системе ycf1998 money-pos перед выполнением 11f276bd20a41f089298d804d804cb1cb1c39d04e015e59 (2025-09-14) позволяет удаленному злоумышленнику выполнять произвольный код через параметр заказа
CVE-2025-57870В версиях Esri ArcGIS Server 11.3, 11.4 и 11.5 (Windows, Linux, Kubernetes) обнаружена уязвимость типа SQL‑инъекция, позволяющая удалённому неаутентифицированному злоумышленнику выполнять произвольные SQL‑команды через определённую операцию ArcGIS Feature Service. При успешной эксплуатации возможен несанкционированный доступ, изменение или удаление данных из корпоративной геодатабазы. Эта уязвимость устраняется критическим патчем, выпущенным 7 октября 2025 г., который следует установить как можно быстрее; патч не является кумулятивным и не требует наличия других обновлений. Для систем, доступных из Интернета, рекомендуется применить обновленные правила Web Application Firewall (WAF) от Esri (версия 2.2.3), охватывающие как GET, так и POST‑запросы. Патч не затрагивает функции сервисов, использующие только хост‑слои, и не влияет на версии ArcGIS Server 11.2 и более ранние, а также не будет затронут в будущих версиях 12 и выше. Пользователям Kubernetes рекомендуется обновиться до версии 11.5, поскольку для 11.3 и 11.4 патча нет. Информация из источника [1].
Источники:
- [1] https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/arcgis-server-feature-services-security-patch
CVE-2025-57819FreePBX — это открытый веб‑интерфейс графического управления. Уязвимость затрагивает модуль «endpoint» в версиях FreePBX 15, 16 и 17, где пользовательские данные недостаточно экранируются, что позволяет неавторизованному атакующему получить доступ к панели администратора FreePBX, произвести произвольные изменения в базе данных и выполнить удалённый код (RCE). Уязвимость раскрыта в начале августа 2025 года, когда злоумышленники использовали ошибку валидации входных параметров модуля endpoint для доступа к системе, выставив её в публичный Интернет без ограничений IP‑фильтрации (подробности в [1] и [2]).
Для защиты рекомендуется немедленно обновить модуль до исправленных версий 15.0.66, 16.0.89 или 17.0.3 (пакет endpoint в стабильных репозиториях). Обновление можно выполнить через веб‑интерфейс администратор → Module Admin или командой:
$ fwconsole ma upgradeall
или, при необходимости, скачав конкретную версию:
$ fwconsole ma downloadinstall endpoint --tag 16.0.89
$ fwconsole ma downloadinstall endpoint --tag 17.0.3
Также следует ограничить доступ к администраторскому интерфейсу с помощью модуля Firewall (разрешить только известные IP), проверить отсутствие файлов‑мусора, например /var/www/html/.clean.sh, и отследить POST‑запросы к modular.php в журналах веб‑сервера (zgrep modular.php /var/log/{httpd,apache2}/*access*). При обнаружении следов эксплуатации рекомендуется выполнить процедуры восстановления, включая резервное копирование, переустановку системы и ротацию всех учётных данных.
Источники:
- [1] https://github.com/FreePBX/security-reporting/security/advisories/GHSA-m42g-xg4c-5f3h
- [2] https://community.freepbx.org/t/security-advisory-please-lock-down-your-administrator-access/107203
CVE-2025-57792Исследующие синие версии до 8.14.9 содержат уязвимость инъекций SQL, вызванную недостаточной валидацией пользовательского ввода в конечной точке веб-приложения. Злоумышленник может предоставить созданный ввод, который выполняется как часть запросов бэкэнд-ба данных. Проблема эксплуатируется без аутентификации, что значительно повышает риск.
CVE-2025-54119ADOdb - это библиотека классов баз данных PHP, которая предоставляет абстракции для выполнения запросов и управления базами данных. В версиях 5.22.9 и ниже неправильный выход параметра запроса может позволить злоумышленнику выполнять произвольные SQL-высказывателей, когда код с использованием ADOdb подключается к базе данных sqlite3 и вызывает методы metaColumns(), metaForeignKeys() или metaIndexes() с созданным названием таблицы. Это исправлено в версии 5.22.10. Чтобы обойти эту проблему, передайте только контролируемые данные в метаКолумы (), metaForeignKeys() и метаIndexes() метод $таблицу.
CVE-2025-53823В системе управления WeGIA до версии 3.4.5 обнаружена уязвимость SQL-инъекции в параметре id_socio на эндпоинте /WeGIA/html/socio/sistema/processa_deletar_socio.php. Это позволяет выполнять произвольные SQL-команды и компрометировать данные. Проблема исправлена в версии 3.4.5. Источники: [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-p8xr-qg3c-6ww2
Источники:
- [1] https://github.com/LabRedesCefetRJ/WeGIA/security/advisories/GHSA-p8xr-qg3c-6ww2