CVE-2026-41422
WysokieStreszczenie
Daptin to headless CMS oparty na GraphQL/JSON-API. W wersjach przed 0.11.4, punkt końcowy /aggregate/:typename akceptował parametry zapytania column i group, które były przekazywane bez walidacji, co umożliwiało wstrzykiwanie dowolnych wyrażeń SQL przez uwierzytelnionych użytkowników.
Ocena ryzyka
Możliwość wstrzykiwania SQL przez uwierzytelnionych użytkowników stwarza poważne ryzyko dla bezpieczeństwa danych w organizacji, mogąc prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
Rekomendacja
Zaleca się aktualizację Daptin do wersji 0.11.4 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji danych wejściowych.
Inne podatności w Daptin
Zobacz wszystkie- CVE-2026-72575Krytyczne
Podatność nieprawidłowej autoryzacji w daptin do wersji 0.12.34 pozwala nieuwierzytelnionym zdalnym atakującym na odczyt, tworzenie, aktualizację i usuwanie rekordów grup użytkowników. Funkcje sprawdzania uprawnień zwracają true, gdy identyfikator użytkownika jest równy, ale nie odrzucają wartości zerowej, co umożliwia obejście kontroli.
- CVE-2026-62160Wysokie
W Daptin (headless CMS GraphQL/JSON-API) przed wersją 0.12.26 globalny LanguageMiddleware przekazuje surowy nagłówek Accept-Language do parsera golang.org/x/text bez filtra rozmiaru i kształtu. Zabezpieczenie przed CVE-2022-32149 liczy myślniki, ale nie podkreślniki, więc długie listy podtagów językowych rozdzielonych podkreślnikami omijają je i powodują kwadratowe przetwarzanie bufora. Nieuwierzytelnione żądania do strony publicznej lub /api mogą wyczerpać CPU serwera.
- CVE-2025-15439Średnie
W Daptin 0.10.3 funkcja goqu.L w pliku server/resource/resource_aggregate.go komponentu Aggregate API jest podatna na wstrzyknięcie SQL poprzez manipulację argumentami column/group/order. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Daptin is a GraphQL/JSON-API headless CMS. Prior to version 0.11.4, the /aggregate/:typename endpoint accepted column and group query parameters that were passed verbatim to goqu.L() — a raw SQL literal expression builder — without any validation. This bypassed all parameterization and allowed authenticated users with any valid session to inject arbitrary SQL expressions. This issue has been patched in version 0.11.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS