Contact/query addressBookIds फ़िल्टर में प्रमाणित SQL इंजेक्शन (SQL Injection)

CVE-2026-33755 उद्यम ग्राहक संबंध प्रबंधन (CRM) और समूह कार्य उपकरण Group-Office को प्रभावित करता है। यह भेद्यता JMAP Contact/query एंडपॉइंट पर प्रमाणित SQL इंजेक्शन है, जो बुनियादी पता पुस्तिका पहुंच वाले प्रमाणित उपयोगकर्ता को डेटाबेस से मनमाना डेटा निकालने की अनुमति देता है। इसमें अन्य उपयोगकर्ताओं के सक्रिय सत्र टोकन शामिल हैं, जो पासवर्ड जाने बिना सिस्टम व्यवस्थापक सहित किसी भी उपयोगकर्ता खाते को पूरी तरह से ओवरटेक करने की अनुमति देता है। इस भेद्यता की गंभीरता उच्च है (CVSS 8.8) क्योंकि संवेदनशील जानकारी तक अनधिकृत पहुंच और उपयोगकर्ता खातों पर पूर्ण नियंत्रण का जोखिम है। इस जोखिम को कम करने के लिए संस्करण 6.8.158 या उच्चतर में अपग्रेड करना आवश्यक है। सफल शोषण से गोपनीय डेटा का खुलासा, महत्वपूर्ण जानकारी का हेरफेर और व्यावसायिक संचालन में व्यवधान हो सकता है।

Organizations utilizing GroupOffice for customer relationship management and groupware, particularly those with multiple users and System Administrator accounts, are at significant risk. Shared hosting environments where multiple GroupOffice instances share the same database are especially vulnerable, as a compromise in one instance could potentially expose data from others.

• linux / server:

journalctl -u groupoffice | grep -i "SQL injection"

• php: Review GroupOffice application logs for SQL error messages or unusual database queries originating from the Contact/query endpoint. • generic web: Use curl to test the Contact/query endpoint with crafted SQL injection payloads. Monitor response headers for errors or unexpected data.

1. 2026-03-27Disclosure

   disclosure

1. आरक्षित2026-03-23
2. प्रकाशित2026-03-27
3. EPSS अद्यतन2026-04-04

CVE-2026-33755 के लिए समाधान Group-Office को संस्करण 6.8.158 या उच्चतर में अपग्रेड करना है। इन संस्करणों में SQL इंजेक्शन भेद्यता के लिए एक फिक्स शामिल है। संभावित हमलों से अपने सिस्टम की सुरक्षा के लिए इस अपडेट को तुरंत लागू करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, अपने संगठन की सुरक्षा नीतियों की समीक्षा करें, जिसमें पासवर्ड प्रबंधन और उपयोगकर्ता प्रमाणीकरण शामिल हैं, यह सुनिश्चित करने के लिए कि वे सुरक्षा सर्वोत्तम प्रथाओं के अनुरूप हैं। संभावित हमलों को वास्तविक समय में पहचानने और उनका जवाब देने के लिए घुसपैठ का पता लगाने वाले सिस्टम (IDS) को लागू करते हुए Group-Office लॉग की निगरानी करें। भेद्यता को खत्म करने का सबसे प्रभावी उपाय अपडेट है।