CVE-2026-63080
Açıklama
commit 5a89368 dahilindeki Aptabase, ClickHouse sorgu arka ucunda, kimliği doğrulanmış saldırganların temizlenmemiş filtre parametrelerini Liquid SQL şablonlarına enjekte ederek tüm kiracılara ait olay verilerini okumasına izin veren bir SQL injection zafiyeti içermektedir. Saldırganlar; EventName, CountryCode, OsName, DeviceModel, AppVersion veya SessionId parametreleri üzerinden kötü niyetli değerler sağlayarak, on beş istatistik API uç noktasından on üçünde app_id kiracı izolasyon filtresini atlayan bir UNION ALL ifadesi enjekte edebilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aptabase aptabase | v ≤ 5a8936852a20c26267ffaefd3544f91e3ca94135 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.