CVE-2026-10863
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W aplikacji naprawiono problem bezpieczeństwa związany z punktem końcowym nadmiernej korelacji, gdzie parametr zapytania 'order' był akceptowany z kontrolowanych przez użytkownika nazwanych parametrów żądania. Umożliwiało to uwierzytelnionemu użytkownikowi nadpisanie serwerowo zdefiniowanego porządku wartości.
Ocena ryzyka
Uwierzytelniony atakujący mógł wpłynąć na klauzulę porządkującą używaną w zapytaniu nadmiernej korelacji, co mogło prowadzić do manipulacji zapytaniami w bazie danych i potencjalnego narażenia aplikacji na niebezpieczne konstrukcje zapytań.
Rekomendacja
Zaleca się usunięcie parametru 'order' z zestawu parametrów kontrolowanych przez żądanie i ustawienie porządku serwerowego na 'occurrence desc' po przetworzeniu dozwolonych parametrów użytkownika.
Oryginalny opis (angielski, źródło NVD)
A security issue was fixed in the correlations over-correlation endpoint where the order query parameter was accepted from user-controlled named request parameters. This allowed an authenticated user to override the server-defined ordering of over-correlating values. Depending on how the value was processed by the underlying data access layer, this could allow manipulation of database query ordering and potentially expose the application to unsafe query construction. The patch removes order from the set of request-controlled parameters and instead sets the ordering server-side to occurrence desc after processing allowed user parameters. Affected component: app/Controller/CorrelationsController.php, overCorrelations() Security impact: An authenticated attacker could influence the ordering clause used by the over-correlations query. The direct impact appears limited to query manipulation unless further evidence confirms SQL injection or unauthorized data exposure through the manipulated ordering expression.