CVE-2026-4317

Umami Software veb tətbiqində düzgün təmizlənməmiş parametr vasitəsilə SQL inyeksiyası (SQLi) zəifliyi aşkar edilmişdir ki, bu da autentifikasiya olunmuş hücumçuya verilənlər bazasında ixtiyari SQL əmrlərini icra etməyə imkan verə bilər. Xüsusilə, onlar zərərli simvollar və SQL faylları daxil etməklə 'timezone' sorğu parametrinin dəyərini manipulyasiya edə bilərlər. Tətbiq bu dəyərləri əvvəlcə lazımi filtrləmə və ya təmizləmə aparmadan (məsələn, 'prisma.rawQuery', 'prisma.$queryRawUnsafe' kimi funksiyalardan və ya 'ClickHouse' ilə birbaşa sorğulardan istifadə edərək) birbaşa SQL sorğusuna yerləşdirir. Bu zəifliyin uğurlu istismarı autentifikasiya olunmuş hücumçuya verilənlər bazasının məlumatlarını təhlükə altına atmağa və təhlükəli funksiyaları icra etməyə imkan verə bilər.