Уязвимость SQL-инъекции в SEMCMS (CVE-2026-108814)
В системе управления контентом SEMCMS выявлена уязвимость, позволяющая проводить SQL-инъекции. Проблема затрагивает файл SEMCMS_Banner.php и может эксплуатироваться удалённо без предварительной аутентификации. Информация опубликована в базе CVE под идентификатором CVE-2026-108814.
Подробности
Уязвимость затрагивает SEMCMS версий до 5.0 включительно. Проблема связана с обработкой входных данных в файле SEMCMS_Banner.php: манипулируя параметрами запроса, злоумышленник может внедрить произвольный SQL-код и выполнить его в базе данных приложения.
Точная функция, в которой возникает недостаток, в записи CVE не указана. Уровень опасности по шкале CVSS — 5.3 (MEDIUM). Несмотря на среднюю оценку, эксплуатация возможна удалённо, что повышает практические риски, особенно для систем, доступных из интернета.
Отдельного внимания заслуживает тот факт, что эксплойт уже опубликован и может быть использован злоумышленниками. Производитель был уведомлён об уязвимости на раннем этапе раскрытия, однако не дал никакого ответа, поэтому официальное исправление на момент публикации записи отсутствует.
Что делать
Поскольку патч от вендора не выпущен, рекомендуется применить следующие меры:
- Ограничить сетевой доступ к административным и служебным скриптам SEMCMS, включая
SEMCMS_Banner.php, средствами WAF, reverse-proxy или правилами межсетевого экрана. - Провести аудит кода и корректно параметризовать все SQL-запросы, обрабатывающие пользовательский ввод, если система поддерживается собственными силами.
- Включить журналирование и мониторинг обращений к уязвимому файлу для выявления попыток эксплуатации.
- Рассмотреть возможность миграции на альтернативную CMS или изоляции SEMCMS в сегменте с минимальными правами доступа к базе данных.
- Отслеживать обновления от производителя: при выпуске исправления установить его незамедлительно.
Уязвимость CVE-2026-108814 в SEMCMS — типичный пример рисков, связанных с неподдерживаемым или заброшенным программным обеспечением. Даже средний уровень CVSS в сочетании с публично доступным эксплойтом и отсутствием реакции вендора делает эту проблему значимой для организаций, использующих SEMCMS. Приоритетными шагами должны стать ограничение доступа к уязвимому компоненту и усиленный мониторинг.
Источник: CVE Project (cvelistV5)