IceCMS 4.1.5 sürümünde kimlik doğrulama gerektirmeyen SQL enjeksiyonu
Yapay zeka üretimi19.10.2026
- CVE
- CVE-2026-111685
- Ciddiyet
- Yüksek (CVSS 7.5)
- Firma / ürün
- - / -
Özet
IceCMS 4.1.5 ve önceki sürümlerinde, /WebResource/findresourcebynum yol parametresi üzerinden uzaktan saldırganlar SQL kodu enjekte edebiliyor.
Ayrıntılar
NVD kaydına göre IceCMS'in 4.1.5 sürümüne kadar olan versiyonlarında kimlik doğrulama gerektirmeyen bir SQL enjeksiyonu açığı bulunuyor. Saldırgan, /WebResource/findresourcebynum adresine özel bir num parametresi göndererek LIMIT ifadesinin sonuna ek SQL kodu ekleyebiliyor. Bu sayede veri tabanındaki bilgileri union-tabanlı ya da kör (blind) tekniklerle çıkarabilir. Açığın ciddiyeti cvss puanı 7.5 olduğu için yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında hemen uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.