CVE-2026-54658
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W Hypequery przed wersją 2.0.2, funkcja escapeValue() nie uciekała backslashy przed apostrofami podczas podstawiania parametrów, co pozwalało atakującemu na wstrzyknięcie dowolnego SQL przez parametry zapytania z końcowym backslashem.
Ocena ryzyka
Atakujący może wykonać dowolne zapytania SQL, co prowadzi do wycieku lub modyfikacji danych w bazie ClickHouse.
Rekomendacja
Zaktualizuj Hypequery do wersji 2.0.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Hypequery is a TypeScript semantic layer for ClickHouse. Prior to 2.0.2, escapeValue() in packages/clickhouse/src/core/utils.ts did not escape backslashes before single quotes during parameter substitution, allowing attacker controlled query parameters with a trailing backslash to escape the closing quote and inject arbitrary SQL. This issue is fixed in version 2.0.2.