Injection SQL dans JoomSport - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P4Moyenne

JoomSport est vulnérable à une injection SQL via le paramètre « team_id » jusqu’à la version 5.7.11 incluse. Un attaquant authentifié disposant au moins du rôle contributeur peut extraire des informations de la base lorsque la saison concernée n’a pas de terme de tournoi associé, situation indiquée comme état par défaut des nouvelles saisons.

IdentifiantCVE-2026-118192

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118192

Analyse technique

Le paramètre fourni par l’utilisateur n’est pas suffisamment échappé et la requête SQL n’est pas suffisamment préparée. L’exploitation requiert un compte contributeur ou supérieur et le contexte de saison décrit.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-29, dans la période demandée; il s’agit d’une publication de vulnérabilité.

ImpactUn utilisateur authentifié disposant des privilèges requis peut extraire des données sensibles de la base.

Versions affectéesToutes les versions jusqu’à 5.7.11 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,44% · percentile 38,4%

Publication2026-10-29T12:17:03.997+02:00

Mise à jour2026-10-29T16:56:26.107+02:00

Action recommandée

Vérifier la disponibilité d’une version corrigée et mettre à jour JoomSport; limiter les comptes contributeur aux personnes de confiance.

Sources

NVD — CVE-2026-118192

Priorisation DFS : P4 · 1 source(s).