CVE-2026-55084
Təsvir
DHIS2 məlumatların toplanması, idarə edilməsi, təsdiqlənməsi, analitikası və vizuallaşdırılması üçün çevik informasiya sistemidir. DHIS2 tətbiqinin SqlView API son nöqtəsində, `/api/sqlViews/{viewId}/data.json` son nöqtəsi tərəfindən istifadə olunan `filter` parametrində SQL inyeksiyası zəifliyi aşkar edilmişdir. SqlView-a giriş imkanı olan autentifikasiya olunmuş istifadəçi, PostgreSQL tərəfindən icra edilən ifadədən sui-istifadə edərək `filter` parametri daxilində ixtiyari SQL sorğuları yerləşdirə bilər və bunun nəticəsi tətbiqin xəta mesajında əks olunur. Bu davranış hücumçulara xəta əsaslı (error-based) SQL inyeksiyası vasitəsilə verilənlər bazasının ixtiyari məzmununu çıxarmağa imkan verir. Təsirə məruz qalan versiyalara aşağıdakılar daxildir: 2.37, 2.38, 2.39, 2.40.11.1/2.40.12-dən əvvəlki 2.40.x, 2.41.8.2-dən əvvəlki 2.41.x, 2.42.5.1-dən əvvəlki 2.42.x, 2.43.0.1-dən əvvəlki 2.43.0, PR #24162-dən əvvəlki 2.44 development budağı. Düzəliş edilmiş versiyalara aşağıdakılar daxildir: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1, PR #24162-dən sonrakı 2.44 development budağı.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dhis2 dhis2-core | >= 2.37, <= 2.39, >= 2.40.0, < 2.40.11.1, >= 2.41.0, < 2.41.8.2, >= 2.42.0, < 2.42.5.1, >= 2.43.0, < 2.43.0.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.