CVE-2026-111472 Inyección SQL en TSG Profleet mediante el parámetro 'Identificación'
Una vulnerabilidad de inyección SQL en TSG Profleet permite a un atacante recuperar, crear, actualizar y eliminar datos de la base de datos enviando una petición GET con el parámetro 'Identificación' del endpoint '/cgi-bin/index.php'.
9.3CRÍTICA
CVSS 4.0
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
TSG Profleet
0
Qué hacer
- Verificá si usás Profleet y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 9.3 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
An SQL injection vulnerability has been discovered in TSG Profleet. The vulnerability could allow an attacker to retrieve, create, update and delete data from the database by sending a GET request using the ‘Identificación’ parameter of the ‘/cgi-bin/index.php’ endpoint.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.