PT-2026-138052
CVE-2026-112341
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Wazuh الإصدارات من 4.0.0 إلى 4.14.8
الوصف
توجد مشكلة في الدالة
WazuhDBBackend. substitute params() ناتجة عن التلوث المتبادل لنائب التعبيرات النمطية (regex placeholder) المتسلسلة. يمكن للمستخدمين المصرح لهم الذين لديهم صلاحيات agent:read على وكيل واحد تنفيذ حقن SQL باستخدام UNION SELECT عبر المعاملات q و search. يسمح هذا باستخراج internal key لجميع الوكلاء من خلال أوراكل بولياني أعمى (blind boolean oracle) على total affected items. الأوراكل البولياني الأعمى هو تقنية تُستخدم لاستخراج البيانات عن طريق طرح أسئلة صح/خطأ على قاعدة البيانات بناءً على استجابة التطبيق.التوصيات
التحديث إلى الإصدار 4.14.9 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾