CVE-2026-120347
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de XunRuiCMS jusqu'à la 4.7.4 sont affectées par cette faille, plus précisément au sein de la fonction View du module Membre. Ce logiciel est utilisé comme système de gestion de contenu pour la création et l'administration de sites web. La vulnérabilité survient car le système ne nettoie pas correctement l'argument `catid`, permettant à un acteur malveillant d'injecter ses propres commandes SQL dans la requête de la base de données.
Un attaquant peut exploiter cela à distance pour lire ou modifier des données sensibles dans la base de données, compromettant ainsi la confidentialité et l'intégrité du site. Aucune authentification ni interaction de l'utilisateur n'est requise, ce qui signifie que toute personne ayant un accès réseau au serveur web peut tenter l'attaque. Comme un exploit public existe, la barrière à l'entrée pour un attaquant est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was determined in dayrui XunRuiCMS up to 4.7.4. Affected is the function View of the file dayrui/Fcms/Core/View.php of the component Member Module. Executing a manipulation of the argument catid can lead to sql injection. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. This patch is called 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231. The affected component should be upgraded.