Šta se desilo?

INCIBE-CERT je 8. oktobra 2026. objavio upozorenje INCIBE-2026-719 o SQL injection ranjivosti CVE-2026-12260 u NetBoard CRM demo platformi. Problem se nalazi u obradi POST parametra user-name na putanji /module/auth/recovery.php.

Koga pogađa?

Upozorenje navodi najnoviju demo verziju iz novembra 2025. godine. Nije opravdano automatski proširiti taj podatak na sve NetBoard CRM proizvode ili produkcione instalacije. Operateri treba da utvrde da li njihovo okruženje koristi opisanu demo platformu i ranjivu komponentu.

Kako se zaštititi?

  • Pošto potvrđena zakrpa nije navedena, ograničite mrežni pristup pogođenoj demo platformi ili privremeno onemogućite ranjivu funkciju uz proveru posledica po rad aplikacije.
  • Ne koristite stvarne korisničke podatke ni produkcione kredencijale u demo okruženju.
  • Pregledajte zapise zahteva ka ranjivoj putanji, greške baze i neuobičajene izmene podataka.
  • WAF može poslužiti kao dodatna privremena mera, ali nije zamena za ispravku. Od proizvođača tražite potvrdu rešenja i uputstvo za primenu.

Tehnički detalji

INCIBE dodeljuje CVSS v4.0 ocenu 10, sa vektorom CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L i klasifikacijom CWE-89. Ocena potiče od INCIBE-a; NVD u trenutku provere nije prikazivao sopstvenu CVSS 3.x procenu.

Savet opisuje SQL injection kroz boolean, error, time-based i UNION tehnike, sa mogućnošću izvlačenja informacija i izmene podataka. To opisuje moguć uticaj ranjivosti, a ne potvrđen incident krađe podataka. INCIBE je pri objavi označio eksploataciju sa „No“ i naveo da rešenje još nije prijavljeno.

Zašto je važno?

Demo sistemi mogu sadržati podatke ili pristupne podatke koji ne pripadaju testnom okruženju. Visoka tehnička ocena zahteva procenu izloženosti, ali ne dokazuje da je svaka instalacija kompromitovana.

Preporuka Sajber Radara

Proverite prisustvo pogođene demo verzije i odmah smanjite njenu izloženost ako je dostupna spolja. Pratite zvanično upozorenje i obaveštenja proizvođača. Zakrpu proglasite dostupnom tek kada postoji potvrđeno rešenje za ovu ranjivost.