CVE-2026-111634

WysokieCVSS 8.1

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

Helical Insight do wersji 7.0.0 zawiera podatność typu SQL injection, która pozwala uwierzytelnionym widzom wstrzykiwać SQL poprzez nieescapowane wartości parametrów raportu wysyłane do /executeDatasource. Atakujący mogą dostarczyć spreparowane wartości zastępcze typu Numeric lub String, które omijają wadliwy mechanizm SqlDetect, aby odczytać nieeksponowane tabele i modyfikować dane w źródle danych raportu.

Ocena ryzyka

Uwierzytelniony widz może odczytać nieeksponowane tabele i modyfikować dane w źródle danych raportu, co prowadzi do naruszenia poufności i integralności danych.

Rekomendacja

Zaktualizuj Helical Insight do wersji nowszej niż 7.0.0 i napraw mechanizm SqlDetect oraz stosuj parametryzację zapytań, aby zapobiec wstrzykiwaniu SQL.

Inne podatności w Helical Insight

CVE-2026-111635Średnie
Helical Insight do wersji 7.0.0 zawiera podatność path traversal, która pozwala uwierzytelnionym widzom na odczyt plików poza katalogiem rozwiązania przez parametr path w /getExternalResource. Atakujący mogą podać segmenty katalogu nadrzędnego, aby odczytać dowolny czytelny plik z dozwolonym rozszerzeniem, takim jak js, json lub html, omijając kontrolę dostępu do zasobów.

Oryginalny opis (angielski, źródło NVD)

Helical Insight through 7.0.0 contains an sql injection vulnerability that allows authenticated viewers to inject SQL through unescaped report parameter values sent to /executeDatasource. Attackers can supply crafted Numeric or String placeholder values that bypass the broken SqlDetect guard to read unexposed tables and modify data in the report's data source.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS