CVE-2026-31891

Cockpit başsız məzmun idarəetmə sistemidir. API girişi aktiv edilmiş və 2.13.4 və ya daha köhnə versiya ilə işləyən hər hansı Cockpit CMS nümunəsi MongoLite Aggregation Optimizer-dəki SQL Injection zəifliyindən potensial olaraq təsirlənə bilər. `/api/content/aggregate/{model}` son nöqtəsinin (endpoint) ictimaiyyət üçün əlçatan olduğu və ya etibarsız istifadəçilər tərəfindən əlaçat olduğu hər hansı tətbiq zəifliyi ola bilər və keçərli yalnız-oxuma API açarına (ən aşağı imtiyaz səviyyəsi) malik olan hücumçular bu zəiflikdən istifadə edə bilərlər — inzibatçı girişinə ehtiyac yoxdur. Hücumçu aqreqasiya sorğularındakı təmizlənməmiş sahə adları vasitəsilə ixtiyari SQL inyeksiya edə, dərc edilməmiş və ya məhdudlaşdırılmış məzmuna daxil olmaq üçün `_state=1` dərc olunmuş məzmun filtrini yan keçə və altda yerləşən SQLite məzmun verilənlər bazasından icazəsiz məlumatlar çıxara bilər. Bu zəiflik 2.13.5 versiyasında aradan qaldırılıb. Düzəliş, v2.13.3 versiyasında `toJsonPath()` üçün tətbiq edilən eyni sahə adı təmizləmə prosesini `lib/MongoLite/Aggregation/Optimizer.php` faylındakı `toJsonExtractRaw()` metoduna tətbiq edərək Aggregation Optimizer-dəki inyeksiya vektorunu bağlayır.