CVE-2026-72565
KrytyczneCVSS 9.8Streszczenie
Podatność na SQL injection w Tencent APIJSON do wersji 8.1.8 pozwala nieuwierzytelnionym zdalnym atakującym na obejście kontroli dostępu per tabela i odczyt dowolnych tabel bazy danych przez operator @having w formie Map. Biblioteka APIJSONORM w AbstractSQLConfig.java stosuje listę dozwolonych ról tylko dla formy String @having, ale nie dla formy Map, co pozwala użytkownikowi-gościowi na wstrzyknięcie surowych fragmentów SQL i odczyt tabel skonfigurowanych z get:[] (pustą listą, co oznacza, że żadna rola nie może ich czytać).
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych w bazie danych, co prowadzi do naruszenia poufności, wycieku danych i potencjalnego naruszenia zgodności z przepisami.
Rekomendacja
Należy zaktualizować APIJSON do wersji z poprawką, która stosuje kontrolę dostępu również dla formy Map @having, oraz przeprowadzić audyt bezpieczeństwa zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability in Tencent APIJSON through 8.1.8 allows unauthenticated remote attackers to bypass per-table access control and read arbitrary database tables via the Map-form @having operator. The APIJSONORM library's AbstractSQLConfig.java applies the per-role allow-list check only on the String form of @having but not on the Map form, allowing a guest user to inject raw SQL fragments and read tables that are configured with get:[] (empty, meaning no role can read them).