CVE-2026-119655
CoreShop through 1.5.5 SQL Injection via order Parameter in GetGoodsPageList
CVSS 3.1High
8.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите CoreShop до релиза выше 1.5.5 или обеспечьте валидацию входящих параметров сортировки по белому списку.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
SQL-инъекция в CoreShop через параметр order в маршруте Good/GetGoodsPageList.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Эндпоинт api/Good/GetGoodsPageList небезопасно подставляет невалидированный параметр order в секцию ORDER BY SQL-запроса. Специфические подзапросы обходят механизм валидации полей SqlSugar.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Утечка конфиденциальных данных (аккаунты участников, история заказов) через blind SQL-инъекции (time-based и boolean-based) без предварительной аутентификации.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
CoreUnionCoreShop
>= 0➔Патч не выпущен
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/CoreUnion/CoreShop/issues/20
- github.comhttps://github.com/CoreUnion/CoreShop/commit/0453011fe2a5abc4c202894ed1d9e87b2accc9e4
- github.comhttps://github.com/CoreUnion/CoreShop/blob/v1.5.5/CoreCms.Net.Web.WebApi/Controllers/GoodController.cs#L233-L241
- github.comhttps://github.com/CoreUnion/CoreShop/blob/v1.5.5/CoreCms.Net.Repository/BaseRepository.cs#L155-L165
- hackmd.iohttps://hackmd.io/@hieuPenguinnn/coreshop-goods-orderby-sql-injection
- github.comhttps://github.com/CoreUnion/CoreShop
- www.vulncheck.comhttps://www.vulncheck.com/advisories/coreshop-through-1.5.5-sql-injection-via-order-parameter-in-getgoodspagelist
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-119655: CoreShop through 1.5.5 SQL Injection via order Parameter in GetGoodsPageList. URL: https://cve.futuretools.ru/cve/CVE-2026-119655
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_119655,
title = {{CVE-2026-119655: CoreShop through 1.5.5 SQL Injection via order Parameter in GetGoodsPageList}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119655}},
note = {Оперативный инженерный анализ киберугроз}
}