CVE-2026-34400
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Alerta w wersjach przed 9.1.0 zawiera podatność na wstrzykiwanie SQL w interfejsie wyszukiwania API (parametr q=). Zapytanie budowane jest przez bezpośrednie interpolowanie danych od użytkownika do łańcuchów SQL za pomocą f-stringów, co pozwala na manipulację zapytaniem.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu, modyfikacji lub usunięcia danych w bazie danych Postgres, co może prowadzić do naruszenia poufności i integralności danych monitorowanych przez Alertę.
Rekomendacja
Zaktualizuj Alertę do wersji 9.1.0, która zawiera poprawkę eliminującą podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
Alerta is a monitoring tool. Prior to version 9.1.0, the Query string search API (q=) was vulnerable to SQL injection via the Postgres query parser, which built WHERE clauses by interpolating user-supplied search terms directly into SQL strings via f-strings. This issue has been patched in version 9.1.0.