CVE-2026-57955
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację danych monitorowanych przez SigNoz (trace'e, logi, metryki) oraz możliwość przeprowadzenia ataków SSRF na wewnętrzne zasoby sieciowe organizacji, co może prowadzić do dalszej eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować SigNoz do wersji nowszej niż 0.130.1, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji należy ograniczyć dostęp do endpointów alert-history tylko dla zaufanych użytkowników.
Inne podatności w SigNoz
Zobacz wszystkie- CVE-2026-63094Wysokie
Podatność open redirect w SigNoz przed wersją 0.134.0 w przepływie uwierzytelniania SSO. Nieuwierzytelniony atakujący może ukraść tokeny sesji od użytkowników w instancjach skonfigurowanych z Google OAuth, SAML lub OIDC.
- CVE-2026-57956Średnie
Podatność w SigNoz przed wersją 0.133.0 umożliwia uwierzytelnionym użytkownikom dostęp do reguł alertów innych organizacji poprzez podanie docelowego UUID reguły. Brak filtrowania po identyfikatorze organizacji w magazynie reguł alertów powoduje obejście kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
SigNoz through 0.130.1 contains a SQL injection vulnerability that allows authenticated attackers to execute arbitrary ClickHouse queries by injecting URL-encoded quotes into the rule ID path parameter of the alert-history endpoints. Attackers can manipulate the unsanitized rule ID interpolated into ClickHouse queries to read all stored traces, logs, and metrics, or abuse the url() function to perform server-side request forgery.