CVE-2026-26186

Fleet açıq mənbəli cihaz idarəetmə proqram təminatıdır. 4.80.1 versiyasından əvvəlki versiyalarda mövcud olan SQL inyeksiyası zəifliyi autentifikasiya olunmuş istifadəçilərə `order_key` sorğu parametri vasitəsilə ixtiyari SQL ifadələri yeritməyə imkan verirdi. `ORDER BY` bəndinin qurulması zamanı `goqu.I()` funksiyasının təhlükəsiz olmayan istifadəsi səbəbindən, xüsusi hazırlanmış giriş identifikator dırnaqlarından çıxa və icra oluna bilən SQL kimi şərh edilə bilərdi. Təsirə məruz qalan son nöqtəyə (endpoint) giriş imkanı olan autentifikasiya olunmuş hücumçu altda yatan MySQL sorğusuna SQL ifadələri yeridə bilərdi. İnyeksiya `ORDER BY` kontekstində baş versə də, bu, nəticələrin sıralamasına təsir edən şərti ifadələr vasitəsilə verilənlər bazası məlumatlarını üzə çıxara bilən kor (blind) SQL inyeksiyası texnikalarını tətbiq etmək üçün kifayətdir. Hazırlanmış ifadələr həmçinin həddindən artıq hesablama proseslərinə və ya sorğu xətalarına səbəb ola bilər ki, bu da performansın aşağı düşməsinə və ya xidmətdən imtinaya (DoS) gətirib çıxara bilər. Məlumatların etibarlı şəkildə dəyişdirilməsi və ya yığılmış sorğuların (stacked queries) icrasına dair heç bir birbaşa sübut nümayiş etdirilməmişdir. Versiya 4.80.1 bu problemi aradan qaldırır. Təcili yeniləmə mümkün deyilsə, istifadəçilər təsirə məruz qalan son nöqtəyə girişi yalnız etibarlı rollarla məhdudlaşdırmalı və istifadəçi tərəfindən təqdim olunan bütün sıralama və sütun parametrlərinin tətbiq və ya proksi səviyyəsində ciddi şəkildə ağ siyahıya (allow-list) alındığından əmin olmalıdırlar.