VULNERABILIDAD
CVE-2026-55871 Inyección SQL en admin/users/index.php de GYM One
Antes de 1.4.1, admin/users/index.php de GYM One concatena los parámetros GET search_name y search_email en la consulta de listado de usuarios y en la consulta COUNT de paginación sin sentencias preparadas. Un administrador autenticado puede inyectar SQL para leer datos de tablas arbitrarias, incluidos datos de usuarios y hashes de contraseñas, y según los permisos de la base también escribir en el sistema de archivos.
Alerta de Nureq Monitor
Detectada 15 OCT · 17:28
CVSS 3.1
6.5MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 27
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-55871
Antes de 1.4.1, admin/users/index.php de GYM One concatena los parámetros GET search_name y search_email en la consulta de listado de usuarios y en la consulta COUNT de paginación sin sentencias preparadas. Un administrador autenticado puede inyectar SQL para leer datos de tablas arbitrarias, incluidos datos de usuarios y hashes de contraseñas, y según los permisos de la base también escribir en el sistema de archivos.
Productos y versiones afectadas
mayerbalintdev GYM-One
Qué hacer
- Verificá si usás GYM-One y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Altos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
GYM One is open-source gym management software for fitness centers, personal trainers, and sports clubs. Prior to 1.4.1, GYM One's admin/users/index.php concatenates the search_name and search_email GET parameters into both the user-list query and the COUNT query used for pagination without prepared statements. An authenticated administrator can inject SQL through either search field to read data from arbitrary tables, including user information and password hashes. Depending on database permissions, the same injection may also permit filesystem writes. This issue is fixed in version 1.4.1.
Referencias
- github.com/mayerbalintdev/GYM-One/security/advisories/GHSA-9j4g-cq35-8997X_REFSOURCE_CONFIRM
- github.com/mayerbalintdev/GYM-One/commit/d3a0cf134f0ab3ac12aee7dca283b93c4290dcc4X_REFSOURCE_MISC
- github.com/mayerbalintdev/GYM-One/releases/tag/V1.4.1X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.