CVE-2026-73975

WysokieCVSS 8.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

System djehuty (repozytorium danych badawczych) przed wersją 26.3.2 umożliwia uwierzytelnionemu deponentowi wstrzyknięcie dowolnego SPARQL do zapytania modyfikującego stan (DELETE/INSERT) poprzez spreparowaną nazwę sesji, co pozwala na zapis i usuwanie dowolnych trójek w magazynie RDF. Narusza to integralność metadanych całego repozytorium.

Ocena ryzyka

Atakujący z kontem może naruszyć integralność metadanych wszystkich danych w repozytorium, co może prowadzić do utraty zaufania do systemu i fałszowania danych badawczych.

Rekomendacja

Zaktualizuj djehuty do wersji 26.3.2 lub nowszej, która zawiera poprawkę.

Inne podatności w djehuty

CVE-2026-73976Wysokie
djehuty przed wersją 26.3.2 zawiera podatność na wstrzyknięcie SPARQL w zapytaniach wyszukiwania/listowania przez trzy parametry. Nieuwierzytelniony atakujący może wykonywać zapytania odczytu, co pozwala na eksfiltrację danych z innych grafów (np. prywatnych) oraz ataki DoS poprzez kosztowne lub złośliwe zapytania.

Oryginalny opis (angielski, źródło NVD)

djehuty is a research data repository system developed by 4TU.ResearchData. Prior to version 26.3.2, an authenticated depositor can inject arbitrary SPARQL into a state-modifying (DELETE/INSERT) query by supplying a crafted session name, letting them write (and delete) arbitrary triples anywhere in the RDF store. Because the RDF store is shared across all accounts and datasets, this is an integrity compromise of the whole repository's metadata, not just the attacker's own records. Having a logged-in account is a precondition. djehuty allows self-registration via ORCID/SAML, so this is a low barrier in typical deployments. This issue has been patched in version 26.3.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS