CVE-2026-62251
WysokieCVSS 8.1Streszczenie
Homer, oprogramowanie do obserwowalności telekomunikacyjnej, przed wersją 11.0.283 jest podatne na wstrzykiwanie SQL w handlerze V4StatisticsQuery. Pole rawquery od użytkownika jest przekazywane bezpośrednio do DuckDB bez walidacji funkcją sqlvalidator.ValidateRawSQL, co pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań SQL do danych dostępnych przez usługę FlightSQL.
Ocena ryzyka
Atakujący po zalogowaniu może uzyskać dostęp do wszystkich danych przechowywanych w systemie, w tym potencjalnie wrażliwych informacji telekomunikacyjnych, oraz je modyfikować lub usuwać. Ryzyko naruszenia poufności i integralności danych jest bardzo wysokie.
Rekomendacja
Zaktualizuj Homera do wersji 11.0.283 lub nowszej, która zawiera poprawkę. Dodatkowo ogranicz dostęp do aplikacji tylko dla zaufanych użytkowników i monitoruj logi pod kątem nietypowych zapytań SQL.
Inne podatności w Homer
Zobacz wszystkie- CVE-2026-62253Krytyczne
Homer, oprogramowanie do obserwowalności telekomunikacyjnej, przed wersją 11.0.283 ma podatność polegającą na tym, że funkcje middleware JWT (`JWTMiddleware` i `JWTMiddlewareV4`) natychmiast zwracają `next(c)`, gdy `jwtSecret` jest pusty. Domyślnie sekret JWT jest pusty, co powoduje, że wszystkie chronione endpointy API są całkowicie nieuwierzytelnione.
- CVE-2026-62252Krytyczne
Homer przed wersją 11.0.283, przy każdym świeżym wdrożeniu z wewnętrznym uwierzytelnianiem, automatycznie tworzy konto `admin` z hasłem `sipcapture` (przechowywanym jako legacy SHA-256 hash). Nie ma mechanizmu wymuszającego zmianę hasła przy pierwszym logowaniu, co pozwala każdemu atakującemu na pełny dostęp administracyjny.
Oryginalny opis (angielski, źródło NVD)
Homer is open source telecom observability software. Prior to version 11.0.283, the `V4StatisticsQuery` handler passes the user-supplied `rawquery` field directly to DuckDB without calling the `sqlvalidator.ValidateRawSQL` function used throughout the rest of the codebase. Any authenticated user can execute arbitrary SQL statements against all data accessible through the FlightSQL service. Version 11.0.283 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS