Group-Office — это инструмент управления взаимоотношениями с корпоративными клиентами и ПО для групповой работы. Версии до 26.0.8, 25.0.87 и 6.8.153 имеют уязвимость SQL-инъекции (SQLi), которую можно использовать через параметр «advancedQueryData» (поле «comparator») на аутентифицированной конечной точке. Конечная точка index.php?r=email/template/emailSelection обрабатывает advancedQueryData и перенаправляет компаратор SQL без строгого списка разрешений в построение условий SQL.
Это позволяет осуществлять слепую логическую фильтрацию таблицы `core_auth_password`. Версии 26.0.8, 25.0.87 и 6.8.153 устраняют проблему.
Показать оригинальное описание (EN)
Group-Office is an enterprise customer relationship management and groupware tool. Versions prior to 26.0.8, 25.0.87, and 6.8.153 have a SQL Injection (SQLi) vulnerability, exploitable through the `advancedQueryData` parameter (`comparator` field) on an authenticated endpoint. The endpoint `index.php?r=email/template/emailSelection` processes `advancedQueryData` and forwards the SQL comparator without a strict allowlist into SQL condition building. This enables blind boolean-based exfiltration of the `core_auth_password` table. Versions 26.0.8, 25.0.87, and 6.8.153 fix the issue.
Характеристики атаки
Последствия
Строка CVSS v4.0