CVE-2026-61851
Açıklama
Chartbrew, doğrudan veri tabanlarına ve API'lere bağlanabilen ve verileri grafikler oluşturmak için kullanan açık kaynaklı bir web uygulamasıdır. 5.2.2 sürümünden önce, Chartbrew'un server/modules/ai/orchestrator/tools/runQuery.js dosyasındaki runQuery() uygulaması, yalnızca yedi SQL anahtar kelimesini içeren bir engelleme listesiyle salt okunur veri tabanı erişimini zorlamaya çalışmaktadır. AI özelliği erişimine sahip kimliği doğrulanmış bir kullanıcı, salt okunur anahtar kelime engelleme listesinde bulunmayan tehlikeli ifadeleri veya veri tabanı fonksiyonlarını göndererek, herhangi bir SQL injection veya anahtar kelime gizleme tekniği kullanmadan bunların yürütülmesini sağlayabilir. Veri tabanı motoruna, yapılandırmaya ve veri tabanı kullanıcı ayrıcalıklarına bağlı olarak bu durum; dosyaların ifşa edilmesine veya yazılmasına, dahili ağ kaynaklarına erişilmesine, veri tabanı ayrıcalıklarının değiştirilmesine, komutların yürütülmesine veya verilerin değiştirilmesine yol açabilir. Bu sorun 5.2.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chartbrew chartbrew | < 5.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.