CVE-2026-115331
WysokieCVSS 8.8Streszczenie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzykiwać SQL poprzez dostarczanie spreparowanych wartości właściwości metryk rozliczeniowych lub filtrów kategorycznych. Atakujący mogą osadzić SQL w wartościach renderowanych bez escapowania w zapytaniach metryk generowanych przez Jinja, uzyskując dostęp do bazy danych współdzielonej przez wszystkich najemców.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do danych innych organizacji (najemców) w współdzielonej bazie danych, co prowadzi do naruszenia izolacji danych i wycieku informacji.
Rekomendacja
Zaktualizuj Lotus do wersji nowszej niż 0.10.2, która naprawia podatność. Do czasu aktualizacji ogranicz uprawnienia użytkowników organizacji i monitoruj nietypowe zapytania do bazy danych.
Inne podatności w Lotus
Zobacz wszystkie- CVE-2026-115334Średnie
Lotus do wersji 0.10.2 zawiera obejście autoryzacji w ChangeUserOrganizationView.post, które pozwala uwierzytelnionym użytkownikom dołączyć do dowolnej organizacji poprzez podanie jej UUID. Samodzielnie zarejestrowany atakujący znający UUID innej organizacji może wysłać żądanie POST do /app/switch_organization/ i uzyskać dostęp do danych oraz konfiguracji rozliczeń tego tenanta.
- CVE-2026-115333Średnie
Lotus do wersji 0.10.2 zawiera niewłaściwą autoryzację w middleware ingestii zdarzeń w Go, które waliduje klucze API tylko po prefiksie, bez sprawdzania sekretu względem zapisanego hashed_key. Atakujący znający lub posiadający prefiks klucza API może wysyłać zdarzenia użycia do POST /api/track/ jako dana organizacja, zmieniając jej mierzone użycie i rozliczenia.
- CVE-2026-115332Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzyknąć SQL poprzez rejestrowanie spreparowanych subscription_filter_keys omijających walidację opartą wyłącznie na słowach kluczowych. Atakujący mogą tworzyć subskrypcje ze złośliwym kluczem, renderowanym jako niecytowany identyfikator group-by, aby wstrzyknąć SQL do zapytań agregacji użycia w współdzielonej bazie danych wielu dzierżawców.
- CVE-2026-115330Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wykonywać dowolny SQL poprzez dołączanie dodatkowych instrukcji do zapytań metryk niestandardowych. Atakujący mogą przesyłać SQL oddzielony średnikami przez POST /app/metrics/, omijając walidację tylko pierwszej instrukcji, aby odczytywać lub modyfikować dane wszystkich najemców.
- CVE-2026-115329Średnie
Lotus do wersji 0.10.2 zawiera podatność typu insecure direct object reference w SubscriptionViewSet.get_object(), która używa querysetu bez ograniczenia do organizacji i bez sprawdzania uprawnień. Uwierzytelnieni użytkownicy lub klucze API z dowolnej organizacji mogą podać subscription_id innej organizacji, aby odczytać, anulować, zaktualizować, zmienić plan lub modyfikować dodatki, zmieniając rozliczenia innego tenanta.
Oryginalny opis (angielski, źródło NVD)
Lotus through 0.10.2 contains an sql injection vulnerability that allows authenticated organization users to inject SQL by supplying crafted billable metric property_name or categorical filter values. Attackers can embed SQL in values rendered unescaped into Jinja-generated counter, gauge and rate metric queries to access the database shared by all tenants.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS