CVE-2026-73976

WysokieCVSS 7.1

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

djehuty przed wersją 26.3.2 zawiera podatność na wstrzyknięcie SPARQL w zapytaniach wyszukiwania/listowania przez trzy parametry. Nieuwierzytelniony atakujący może wykonywać zapytania odczytu, co pozwala na eksfiltrację danych z innych grafów (np. prywatnych) oraz ataki DoS poprzez kosztowne lub złośliwe zapytania.

Ocena ryzyka

Atakujący może uzyskać dostęp do prywatnych danych przechowywanych w RDF store oraz spowodować niedostępność usługi.

Rekomendacja

Zaktualizuj djehuty do wersji 26.3.2 lub nowszej, która zawiera poprawkę.

Inne podatności w djehuty

CVE-2026-73975Wysokie
System djehuty (repozytorium danych badawczych) przed wersją 26.3.2 umożliwia uwierzytelnionemu deponentowi wstrzyknięcie dowolnego SPARQL do zapytania modyfikującego stan (DELETE/INSERT) poprzez spreparowaną nazwę sesji, co pozwala na zapis i usuwanie dowolnych trójek w magazynie RDF. Narusza to integralność metadanych całego repozytorium.

Oryginalny opis (angielski, źródło NVD)

djehuty is a research data repository system developed by 4TU.ResearchData. Prior to version 26.3.2, An unauthenticated attacker can inject SPARQL into the search/listing queries through three separate parameters. Because the affected queries are read (SELECT) queries, this does not write to the store, but it allows: Cross-graph data exfiltration — e.g. UNION-ing in triples from graphs the request was never scoped to (drafts/private/internal data held in the RDF store); denial of service — expensive or malformed queries that tie up the SPARQL backend / web workers. No account or user interaction is required. This issue has been patched in version 26.3.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS