CVE-2026-32306
Təsvir
OneUptime onlayn xidmətlərin monitorinqi və idarə edilməsi üçün nəzərdə tutulmuş həll yoludur. 10.0.23 versiyasından əvvəl telemetriya aqreqasiya API-ı istifadəçi tərəfindən idarə olunan aggregationType, aggregateColumnName və aggregationTimestampColumnName parametrlərini qəbul edir və onları .append() metodu vasitəsilə ("etibarlı SQL" kimi sənədləşdirilib) birbaşa ClickHouse SQL sorğularına daxil edir. Heç bir icazəli siyahı (allowlist), parametrləşdirilmiş sorğu bağlanması və ya giriş validasiyası mövcud deyil. Autentifikasiya olunmuş istifadəçi ClickHouse-a ixtiyari SQL inyeksiya edə bilər ki, bu da verilənlər bazasının tam oxunmasına (bütün tenant-lardan gələn telemetriya məlumatları daxil olmaqla), məlumatların dəyişdirilməsinə və ClickHouse cədvəl funksiyaları vasitəsilə potensial uzaqdan kodun icrasına imkan verir. Bu zəiflik 10.0.23 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- hackerbay oneuptime10.0.23 və ya daha yeni versiya
- oneuptime10.0.23 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hackerbay oneuptime | v < 10.0.23 | 10.0.23 |
| oneuptimenpm | v < 10.0.23 | 10.0.23 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.