CVE-2023-35088
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
W podatności CVE-2023-35088 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL w Apache InLong, co może prowadzić do ataków typu SQL Injection. Problem dotyczy wersji od 1.4.0 do 1.7.0.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań do bazy danych, co może prowadzić do ujawnienia danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.8.0 Apache InLong lub zastosowanie odpowiednich poprawek, aby zlikwidować tę podatność.
Inne podatności w Apache InLong
Zobacz wszystkie- CVE-2026-63039Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć wartość string do zapytania SQL, co umożliwia wykonanie nieautoryzowanych operacji na bazie danych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63038Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć dowolny kod SQL poprzez parametry dbName, tableName, schemaName oraz username. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63037Krytyczne
Podatność typu SQL Injection w Apache InLong. Umożliwia wstrzyknięcie SQL w klauzuli ORDER BY w bazie danych backendu Managera. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63046Wysokie
Podatność na wstrzykiwanie argumentów w Apache InLong. Moduł ModuleManager instalatora agenta wykonuje dowolne polecenia powłoki przez ExcuteLinux.exeCmd() bez filtrowania ani walidacji listy dozwolonych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63044Średnie
Podatność SSRF w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu uwierzytelnionemu użytkownikowi (bez roli administratora) na spowodowanie, że serwer InLong Manager wykona wychodzące żądania HTTP lub połączenia TCP do dowolnych wewnętrznych hostów i portów.
- CVE-2026-63043Wysokie
Podatność typu Relative Path Traversal w Apache InLong (od 2.0.0 przed 2.4.0) pozwala na dowolny odczyt plików z systemu plików hosta Agent.
- CVE-2026-63042Wysokie
Podatność w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu użytkownikowi, który może uwierzytelnić się w menedżerze, na tworzenie, modyfikowanie i usuwanie definicji węzłów danych.
- CVE-2026-63040Wysokie
Podatność w Apache InLong umożliwia dostęp do plików lub katalogów podmiotom zewnętrznym. Komponent StreamSource nie przeprowadza kontroli autoryzacji, przez co każdy uwierzytelniony użytkownik może logicznie usunąć wszystkie źródła strumieniowe. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63016Średnie
Podatność w Apache InLong dotyczy niekontrolowanego zużycia zasobów, co może pozwolić użytkownikom na wpływ na konfigurację operacyjną lub przesyłanie nieoficjalnych pakietów. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
- CVE-2026-63015Średnie
Podatność w Apache InLong pozwala osobom niebędącym szablonami odpowiedzialnymi na przeglądanie informacji o szablonach. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements Used in an SQL Command ('SQL Injection') vulnerability in Apache Software Foundation Apache InLong.This issue affects Apache InLong: from 1.4.0 through 1.7.0. In the toAuditCkSql method, the groupId, streamId, auditId, and dt are directly concatenated into the SQL query statement, which may lead to SQL injection attacks. Users are advised to upgrade to Apache InLong's 1.8.0 or cherry-pick [1] to solve it. [1] https://github.com/apache/inlong/pull/8198