CVE-2026-110670
WysokieCVSS 7.3Streszczenie
W narzędziu sar2html w wersji 4.0.0 wykryto podatność typu SQL injection w funkcji updateDb w pliku sar2html.py, w komponencie przetwarzania archiwów. Manipulacja argumentem s2host pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie.
Ocena ryzyka
Podatność umożliwia zdalnemu atakującemu wstrzyknięcie dowolnych zapytań SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy. Projekt nie odpowiedział na zgłoszenie, więc poprawka może nie być dostępna.
Rekomendacja
Ogranicz dostęp do aplikacji sar2html wyłącznie do zaufanych sieci, zweryfikuj poprawność argumentu s2host po stronie serwera i rozważ wdrożenie własnej poprawki lub zaprzestanie używania nieutrzymywanego projektu.
Inne podatności w sar2html
Zobacz wszystkie- CVE-2026-110668Wysokie
W narzędziu cemtan sar2html w wersji 4.0.0 funkcja index w pliku sar2html.py nie zabezpiecza argumentu sort, co prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być wykorzystywany w atakach. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-110667Wysokie
W cemtan sar2html 4.0.0 odkryto lukę bezpieczeństwa. Podatność dotyczy nieznanej funkcjonalności pliku sar2html.py. Manipulacja argumentem SECRET_KEY prowadzi do użycia zakodowanych na stałe poświadczeń. Atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale nie odpowiedział.
- CVE-2026-18719Średnie
Podatność w sar2html 4.0.0 dotyczy nieznanej części pliku sar2html.py w komponencie Search. Manipulacja argumentem Search prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in cemtan sar2html 4.0.0. The affected element is the function updateDb of the file sar2html.py of the component Archive Processing. The manipulation of the argument s2host results in sql injection. The attack can be launched remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS