آسیبپذیری CVE-2026-3325یک نقص از نوع SQL Injection در MegaCMS نسخه 12.0.0 است. این آسیبپذیری در پارامتر id_territorio مربوط به endpoint زیر قرار دارد:
/web_comunications/cms/get_provincias
طبق اعلام INCIBE-CERT، این پارامتر در یک درخواست POST و پس از ارسال فرم ثبتنام استفاده میشود و به دلیل اعتبارسنجی و پاکسازی ناکافی ورودی، مهاجم بدون احراز هویت میتواند مقدار آن را دستکاری کند و کوئریهای SQL دلخواه را اجرا کند. این نقص با شناسه CWE-89 ثبت شده و امتیاز CVSS v4.0 برابر 10.0 دارد. بردار حمله آن شبکهای است، پیچیدگی حمله پایین است، نیاز به دسترسی قبلی یا تعامل کاربر ندارد و اثر آن روی محرمانگی، یکپارچگی و دسترسپذیری سامانه بالا ارزیابی شده است.
محصولات تحت تأثیر
- MegaCMS نسخه 12.0.0
INCIBE-CERT این آسیبپذیری را برای MegaCMS نسخه 12.0.0 اعلام کرده است و در دادههای OpenCVE نیز همین نسخه بهعنوان affected ثبت شده است. نسخههای دیگر در منابع بررسیشده بهصورت قطعی آسیبپذیر اعلام نشدهاند.
توصیههای امنیتی
با توجه به اینکه این آسیبپذیری بدون نیاز به احراز هویت و از راه دور قابل سوءاستفاده است، سازمانهایی که از MegaCMS استفاده میکنند باید بررسی نسخه و اعمال بهروزرسانی را در اولویت قرار دهند. این مورد برای سامانههای رزرو، فروش آنلاین، ticketing و سرویسهایی که اطلاعات کاربران را در پایگاهداده نگهداری میکنند اهمیت بیشتری دارد؛ زیرا SQL Injection میتواند منجر به افشای داده، تغییر داده یا اختلال در سرویس شود.
منبع خبر
https://www.incibe.es/en/incibe-cert/notices/aviso/sql-injection-megacms-crm-sistemas-de-fidelizaci…
https://github.com/advisories/GHSA-894p-r722-q8j9
https://nvd.nist.gov/vuln/detail/CVE-2026-3325
- 19