CVE-2025-15439
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Daptin 0.10.3 funkcja goqu.L w pliku server/resource/resource_aggregate.go komponentu Aggregate API jest podatna na wstrzyknięcie SQL poprzez manipulację argumentami column/group/order. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych z bazy.
Rekomendacja
Ogranicz dostęp do API Aggregate, wdróż walidację parametrów column/group/order i rozważ aktualizację lub załatanie Daptin, ponieważ producent nie odpowiedział na zgłoszenie.
Inne podatności w Daptin
Zobacz wszystkie- CVE-2026-41422Wysokie
Daptin to headless CMS oparty na GraphQL/JSON-API. W wersjach przed 0.11.4, punkt końcowy /aggregate/:typename akceptował parametry zapytania column i group, które były przekazywane bez walidacji, co umożliwiało wstrzykiwanie dowolnych wyrażeń SQL przez uwierzytelnionych użytkowników.
- CVE-2026-72575Krytyczne
Podatność nieprawidłowej autoryzacji w daptin do wersji 0.12.34 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt, tworzenie, aktualizację i usuwanie rekordów grup użytkowników. Funkcje sprawdzania uprawnień zwracają true, gdy identyfikator użytkownika jest równy, ale nie odrzucają wartości zerowej, co umożliwia obejście kontroli.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Daptin 0.10.3. Affected by this vulnerability is the function goqu.L of the file server/resource/resource_aggregate.go of the component Aggregate API. The manipulation of the argument column/group/order leads to sql injection. The attack may be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS