CVE-2026-4317
KrytyczneStreszczenie
W aplikacji webowej Umami Software występuje podatność na wstrzykiwanie SQL (SQLi) z powodu niewłaściwie sanitizowanego parametru. Umożliwia to uwierzytelnionemu atakującemu wykonanie dowolnych poleceń SQL w bazie danych poprzez manipulację wartością parametru 'timezone'.
Ocena ryzyka
Eksploatacja tej podatności może prowadzić do kompromitacji danych w bazie oraz umożliwić atakującemu wykonywanie niebezpiecznych funkcji. To stwarza poważne zagrożenie dla integralności i poufności danych organizacji.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów sanitizacji i filtrowania danych wejściowych, aby zapobiec wstrzykiwaniu SQL. Należy również przeprowadzić audyt bezpieczeństwa aplikacji w celu identyfikacji i naprawy innych potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
SQL inyection (SQLi) vulnerability in Umami Software web application through an improperly sanitized parameter, which could allow an authenticated attacker to execute arbitrary SQL commands in the database.Specifically, they could manipulate the value of the 'timezone' request parameter by including malicious characters and SQL payload. The application would interpolate these values directly into the SQL query without first performing proper filtering or sanitization (e.g., using functions such as 'prisma.rawQuery', 'prisma.$queryRawUnsafe' or raw queries with 'ClickHouse'). The successful explotation of this vulnerability could allow an authenticated attacker to compromiso the data of the database and execute dangerous functions.