CVE-2026-120347 Inyección SQL en la función View de View.php en dayrui XunRuiCMS
La función View del archivo dayrui/Fcms/Core/View.php, en el componente Member Module de dayrui XunRuiCMS hasta 4.7.4, permite inyección SQL mediante la manipulación del argumento catid. El ataque puede lanzarse de forma remota y el exploit fue divulgado públicamente. El parche se identifica como 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231 y el componente afectado debe actualizarse.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 26
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
dayrui XunRuiCMS
4.7.04.7.14.7.24.7.34.7.4
Qué hacer
- Verificá si usás XunRuiCMS y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.3 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 7.3 ALTA
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
Descripción original
A vulnerability was determined in dayrui XunRuiCMS up to 4.7.4. Affected is the function View of the file dayrui/Fcms/Core/View.php of the component Member Module. Executing a manipulation of the argument catid can lead to sql injection. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. This patch is called 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231. The affected component should be upgraded.
Referencias (7)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.