cve-2024-37762

説明 MachForm バージョン21までが、認証された制限のないファイルアップロードの影響を受け、リモートコード実行に繋がります。 このアプリケーションは、ファイルアップロード機能を備えたフォーム作成の可能性を提供します。デフォルトでは許可されるファイルは一般的な安全なサブセットに制限されていますが、フォーム作成者は許可される追加の形式を指定することもできます。 フォーム作成権限を持つユーザーが、”PHP”形式を許可したファイルアップロード機能付きのフォームを作成した場合、認証されていない任意のユーザーがこのフォームを悪用してリモートコード実行を得ることができます。 リスク 重大度:...

cve-2024-37763

説明 MachFormのバージョン19までが、認証されていない格納型クロスサイトスクリプティングの影響を受けます。これにより、有効なセッションを持つユーザーがフォームの結果を閲覧する際に影響を受けます。 対象のWebアプリケーションでは、テキスト署名が有効になっているフォームを使用する場合、脆弱なリソースへのリクエストがXSS攻撃を受けることが判明しました。脆弱なURL内のPOSTリクエストのボディパラメータがサニタイズされておらず、悪意のあるペイロードが埋め込まれ、被害者のブラウザでJavaScriptコードがトリガーされる可能性があります。 リスク 深刻度: 中 CVSS v3.1...

cve-2024-37764

説明 MachForm バージョン 19 までには、認証された保存型クロスサイトスクリプティングの脆弱性があります。 対象のWebアプリケーションでは、脆弱なリソースへのリクエストがXSS攻撃を受けることが判明しています。脆弱なURL内のPOSTリクエストのボディパラメータはサニタイズされておらず、悪意のあるペイロードが配置され、被害者のブラウザ上でJavaScriptコードがトリガーされる可能性があります。 リスク 深刻度: 中 CVSS v3.1 スコア: 4.6 CVSS v3.1 ベクター: AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L 影響を受けるリソ...

cve-2024-37765

説明 MachForm バージョン 19 までは、ユーザーアカウント設定ページにおいて認証が必要なブラインド SQL インジェクションの影響を受けます。 SQL インジェクション攻撃は、クライアントアプリケーションの入力データフィールドを利用して SQL クエリを挿入することで行われます。この種の攻撃により、データベースへのアクセスが可能になり、既存データの流出、変更、削除につながる可能性があります。 ブラインド SQL インジェクションは、攻撃者がクエリ結果全体を受け取るのではなく、真偽の質問のみを行える特殊な攻撃です。これは、sleep...

CVE-2026-78839

CVE-2026-78839 描述 AppNitro MachForm v30 中存在任意文件上传漏洞，攻击者可通过上传特制的 .phar 文件来执行任意代码。 成功利用此漏洞需要满足两个实际前提条件。首先，攻击者必须找到一个已配置为允许上传 .phar 文件的现有表单，或者拥有足够的权限自行修改表单的允许扩展名。其次，攻击者必须能够确定上传文件所分配的 MD5 哈希值，以便检索并执行该文件。这既可以通过暴力破解文件名来实现（因为可以发送无限请求来枚举有效文件名），也可能通过次要漏洞被披露。 攻击向量 如果拥有表单创建权限的用户创建了一个启用文件上传功能且允许 .phar...

CVE-2026-78837

CVE-2026-78837 描述 AppNitro MachForm v30 中 apformid 参数存在 SQL 注入漏洞，攻击者可通过精心构造的 SQL 语句访问敏感数据库信息。 受影响组件 已在 MachForm - 版本 30 上测试 攻击类型 远程 攻击向量 未认证攻击者可在 griddatasource.php 中向 filterfilters0field 参数注入内容，以枚举 apformid 表中的有效列名。 风险 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P 6.9 / 中危 ...

CVE-2026-78837

A SQL injection vulnerability in the apformid parameter in AppNitro MachForm v30 allows attackers to access sensitive database information via a crafted SQL statement...

CVE-2026-78838

A reflected cross-site scripting XSS vulnerability in the griddatasource.php component of AppNitro MachForm v30 allows attackers to execute arbitrary Javascript in the context of the victim's browser via injecting a crafted payload into the filterfilters0field parameter...

CVE-2026-78837

AppNitro MachForm v30 contains a remote SQL injection vulnerability in the filter[filters][0][field] parameter of grid_datasource.php. An unauthenticated attacker can inject a crafted SQL statement to enumerate valid column names in the ap_form_{id} table, gaining access to sensitive database inf...

EUVD-2026-72851

A SQL injection vulnerability in the apformid parameter in AppNitro MachForm v30 allows attackers to access sensitive database information via a crafted SQL statement...

CVE-2026-78837

A SQL injection vulnerability in the apformid parameter in AppNitro MachForm v30 allows attackers to access sensitive database information via a crafted SQL statement...

CVE-2026-78838

A reflected cross-site scripting XSS vulnerability in the griddatasource.php component of AppNitro MachForm v30 allows attackers to execute arbitrary Javascript in the context of the victim's browser via injecting a crafted payload into the filterfilters0field parameter...

EUVD-2026-72775

A reflected cross-site scripting XSS vulnerability in the griddatasource.php component of AppNitro MachForm v30 allows attackers to execute arbitrary Javascript in the context of the victim's browser via injecting a crafted payload into the filterfilters0field parameter...

CVE-2026-78838

AppNitro MachForm v30 contains a reflected XSS in the grid_datasource.php component, triggered by injecting a crafted payload into the filter[filters][0][field] parameter. An unauthenticated remote attacker can execute arbitrary JavaScript in the victim's browser. The vulnerability was rated CVSS...

CVE-2026-78839

An arbitrary file upload vulnerability in AppNitro MachForm v30 allows attackers to execute arbitrary code via uploading a crafted .phar file...

CVE-2026-78839

An arbitrary file upload vulnerability in AppNitro MachForm v30 allows attackers to execute arbitrary code via uploading a crafted .phar file...

EUVD-2026-71712

An arbitrary file upload vulnerability in AppNitro MachForm v30 allows attackers to execute arbitrary code via uploading a crafted .phar file...

CVE-2026-78839

AppNitro MachForm v30 is affected by an arbitrary file upload vulnerability that can lead to remote code execution via a crafted .phar file. Exploitation requires two prerequisites: a form configured to permit .phar uploads, and brute-forcing the random MD5 hash filename to retrieve the uploaded ...

AppNitro MachForm 30 Cross Site Scripting

AppNitro MachForm version 30 suffers from a cross site scripting vulnerability. CVE-2026-78838 Description A reflected cross-site scripting XSS vulnerability in the griddatasource.php component of AppNitro MachForm v30 allows attackers to execute arbitrary Javascript in the context of the victim'...

AppNitro MachForm 30 SQL Injection

AppNitro MachForm version 30 suffers from a remote SQL injection vulnerability. CVE-2026-78837 Description An SQL injection vulnerability in the apformid parameter in AppNitro MachForm v30 allows attackers to access sensitive database information via a crafted SQL statement. Affected Component...