Уязвимость SQL-инъекции в mooSocial до 3.2.4 (CVE-2026-105149)

В популярной платформе для создания социальных сетей и сообществ mooSocial выявлена уязвимость, позволяющая проводить SQL-инъекции. Проблема затрагивает версии продукта вплоть до 3.2.4 включительно. Поскольку эксплойт уже находится в открытом доступе, а вендор не отреагировал на уведомление об уязвимости, риск практического использования существенно возрастает.

Подробности

Уязвимость получила идентификатор CVE-2026-105149 и оценена в 6.9 балла по шкале CVSS (MEDIUM). Проблема локализована в обработчике /stores/all-products. При манипуляции аргументом rating пользовательский ввод не проходит должную санитизацию, что позволяет внедрить произвольные SQL-конструкции в запрос к базе данных.

Согласно описанию, уязвимый код относится к некоему «неизвестному» участку обработки запроса, то есть точная функция, отвечающая за фильтрацию параметра, в отчёте не детализирована. При этом атака может быть инициирована удалённо — злоумышленнику не требуется локальный доступ к серверу или аутентификация с высокими привилегиями. Эксплуатация позволяет читать, изменять или удалять данные из базы, а в зависимости от конфигурации СУБД — потенциально выполнять административные операции.

Ситуация осложняется тем, что эксплойт уже опубликован публично и может быть использован широким кругом атакующих, в том числе для массового сканирования уязвимых инсталляций mooSocial. Производитель был уведомлён о проблеме заблаговременно, но, как указано в записи CVE, не ответил ни на одно обращение. Это означает, что официального патча на момент публикации нет.

Что делать

Поскольку вендор не выпустил исправление, владельцам инсталляций mooSocial следует применить компенсирующие меры:

• Проверить, используется ли компонент /stores/all-products, и по возможности ограничить к нему доступ извне (например, через правила WAF или обратного прокси).
• Настроить сигнатуры WAF на блокировку подозрительных значений параметра rating, содержащих SQL-конструкции (кавычки, комментарии, ключевые слова UNION, SELECT, SLEEP и т. п.).
• Ограничить права пользователя базы данных, под которым работает mooSocial: отказаться от избыточных привилегий, запретить доступ к системным таблицам.
• Включить детальное логирование запросов к БД и мониторинг аномальной активности на веб-сервере.
• Рассмотреть переход на альтернативную платформу или изоляцию mooSocial в сегменте сети с минимальными правами, если обновление невозможно.
• Следить за обновлениями от вендора и оперативно устанавливать патч, если он появится.

Учитывая публичную доступность эксплойта и молчание разработчика, единственным надёжным способом защиты остаётся сочетание сетевых ограничений, WAF и минимизации привилегий СУБД. Игнорирование проблемы оставляет систему открытой для удалённых атак, способных привести к утечке или компрометации данных пользователей.

Источник: CVE Project (cvelistV5)