Vulnerabilidad en Phishing Club (CVE-2026-28226)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
26/02/2026
Última modificación:
27/02/2026
Descripción
Phishing Club es un framework de simulación de phishing y man-in-the-middle. Antes de la versión 1.30.2, existe una vulnerabilidad de inyección SQL autenticada en el endpoint de listado de destinatarios GetOrphaned en versiones anteriores a la v1.30.2. El endpoint construye una consulta SQL en bruto y concatena el valor sortBy controlado por el usuario directamente en la cláusula ORDER BY sin validación de lista de permitidos. Debido a que los valores desconocidos se pasan silenciosamente a través de 'RemapOrderBy()', un atacante autenticado puede inyectar expresiones SQL en la cláusula 'ORDER BY'. Este problema fue parcheado en la v1.30.2 al validar la columna de ordenación contra una lista de permitidos y limpiar las asignaciones desconocidas.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA