CVE-2026-8462

WysokieCVSS 8.9

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.60%

Percentyl 47 - wyżej niż 47% wszystkich znanych CVE

Streszczenie

OpenMeter przed wersją v1.0.0-beta.228 zawiera podatność na wstrzyknięcie SQL w definicjach liczników opartych na ClickHouse. Zdalny nieuwierzytelniony atakujący może uzyskać dostęp do danych pomiarowych lub je modyfikować, a także spowodować DoS.

Ocena ryzyka

Ryzyko naruszenia poufności i integralności danych pomiarowych oraz przerwania działania usługi.

Rekomendacja

Zaktualizuj OpenMeter do wersji v1.0.0-beta.228 lub nowszej.

Inne podatności w OpenMeter

CVE-2026-18801Krytyczne
OpenMeter zawiera podatność na przechowywany (drugiego rzędu) atak SQL injection w obsłudze wartości atrybucji użycia klienta. Atakujący, który może utworzyć lub zaktualizować klienta, może zapisać złośliwą wartość w polach usageAttribution.key lub usageAttribution.subjectKeys. Gdy klient jest następnie używany w zapytaniu licznika lub zdarzenia, OpenMeter wstawia zapisaną wartość do wyrażenia ClickHouse WITH map(...) przy użyciu konkatenacji stringów. Podatne są wersje od v1.0.0-beta.218 do v1.0.0-beta.231.

Oryginalny opis (angielski, źródło NVD)

SQL injection in ClickHouse-backed meter definitions in OpenMeter OpenMeter before v1.0.0-beta.228 on all platforms allows a remote unauthenticated attacker to access or modify metering event data, and potentially cause denial of service, via crafted user-controlled JSONPath values submitted to meters API.