CVE-2026-32611
Təsvir
Glances açıq mənbəli çarpaylı sistem monitorinqi alətidir. GHSA-x46r düzəlişi (commit 39161f0), bütün SQL əməliyyatlarını parametrləşdirilmiş sorğular və `psycopg.sql` tərkibli obyektləri istifadə edəcək şəkildə dəyişdirərək TimescaleDB ixrac modulundakı SQL inyeksiyasını aradan qaldırdı. Lakin, DuckDB ixrac modulu (`glances/exports/glances_duckdb/__init__.py`) bu düzəlişə daxil edilməmişdi və eyni növ zəiflikdən ibarətdir: monitorinq statistikalarından əldə edilən cədvəl və sütun adları f-stringlər vasitəsilə birbaşa SQL ifadələrinə yerləşdirilir. DuckDB INSERT dəyərləri artıq parametrləşdirilmiş sorğulardan (`?` yer tutucuları) istifadə etsə də, DDL quruluşu və cədvəl adı istinadları identifikator adlarını ekranlamır və ya parametrləşdirmir. Versiya 4.5.3 daha tam düzəliş təmin edir.
Necə düzəltmək olar
- nicolargo glances4.5.2 və ya daha yeni versiya
- glances4.5.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nicolargo glances | v < 4.5.2 | 4.5.2 |
| glancesPyPI | v < 4.5.2 | 4.5.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.