CVE-2026-41422

Wysokie

Opublikowano: 07/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Daptin to headless CMS oparty na GraphQL/JSON-API. W wersjach przed 0.11.4, punkt końcowy /aggregate/:typename akceptował parametry zapytania column i group, które były przekazywane bez walidacji, co umożliwiało wstrzykiwanie dowolnych wyrażeń SQL przez uwierzytelnionych użytkowników.

Ocena ryzyka

Możliwość wstrzykiwania SQL przez uwierzytelnionych użytkowników stwarza poważne ryzyko dla bezpieczeństwa danych w organizacji, mogąc prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.

Rekomendacja

Zaleca się aktualizację Daptin do wersji 0.11.4 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji danych wejściowych.

Inne podatności w Daptin

CVE-2026-72575Krytyczne
Podatność nieprawidłowej autoryzacji w daptin do wersji 0.12.34 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt, tworzenie, aktualizację i usuwanie rekordów grup użytkowników. Funkcje sprawdzania uprawnień zwracają true, gdy identyfikator użytkownika jest równy, ale nie odrzucają wartości zerowej, co umożliwia obejście kontroli.

Oryginalny opis (angielski, źródło NVD)

Daptin is a GraphQL/JSON-API headless CMS. Prior to version 0.11.4, the /aggregate/:typename endpoint accepted column and group query parameters that were passed verbatim to goqu.L() — a raw SQL literal expression builder — without any validation. This bypassed all parameterization and allowed authenticated users with any valid session to inject arbitrary SQL expressions. This issue has been patched in version 0.11.4.