CVE-2026-41462: fallo crítico en ProjeQtor
ProjeQtor < 12.4.4 Unauthenticated SQL Injection via Login
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
48Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 9.3epss 0.6%
ProjeQtor versions 7.0 through 12.4.3 contain an unauthenticated SQL injection vulnerability in the login functionality where the login variable is directly concatenated into a SQL query without parameterization or sanitization. Attackers can inject arbitrary SQL expressions through the username field at the authentication endpoint to create privileged accounts, read sensitive data, and execute operating system commands if the database user has elevated permissions.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
ProjeQtor · ProjeQtorPoCs públicas encontradas — 2
cve_referencegryfman.fr/cves/CVE-2026-41462no verificadocve_referencedamiri.fr/en/cves/CVE-2026-41462no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — ProjeQtor
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-41463HIGHProjeQtor < 12.4.4 ZipSlip Path Traversal via uploadPlugin.phpEPSS 1.1%CVE-2026-41465HIGHProjeQtor < 12.4.4 Path Traversal via dynamicDialog.phpEPSS 0.5%CVE-2026-41464HIGHProjeQtor < 12.4.4 Missing Authorization via objectDetail.phpEPSS 0.3%CVE-2026-41466MEDIUMProjeQtor < 12.4.4 Stored XSS via checkValidHtmlText()EPSS 0.2%CVE-2026-41467MEDIUMProjeQtor < 12.4.4 Stored XSS via checkValidFileName()EPSS 0.2%