CVE-2026-61851

Chartbrew məlumat bazalarına və API-lərə birbaşa qoşula bilən və bu məlumatlardan istifadə edərək diaqramlar yarada bilən açıq mənbəli veb tətbiqdir. Versiya 5.2.2-dən əvvəl Chartbrew-nun server/modules/ai/orchestrator/tools/runQuery.js faylındakı runQuery() implementasiyası yalnız yeddi SQL açar sözündən ibarət blok siyahısı ilə məlumat bazasına yalnız oxuma girişini təmin etməyə çalışır. AI funksiyalarına girişi olan autentifikasiya olunmuş istifadəçi, yalnız oxuma üçün nəzərdə tutulmuş açar sözlərin blok siyahısında olmayan təhlükəli ifadələri və ya məlumat bazası funksiyalarını göndərə bilər ki, bu da onların SQL inyeksiyası və ya açar sözlərin gizlədilməsi texnikaları olmadan icra edilməsinə səbəb olar. Məlumat bazası mühərrikindən, konfiqurasiyadan və məlumat bazası istifadəçisinin imtiyazlarından asılı olaraq, bu, faylların üzə çıxarılmasına və ya yazılmasına, daxili şəbəkə resurslarına girişə, məlumat bazası imtiyazlarının dəyişdirilməsinə, əmrlərin icrasına və ya məlumatların dəyişdirilməsinə yol aça bilər. Bu problem 5.2.2 versiyasında düzəldilmişdir.