PT-2026-25085
CVE-2026-32306
·
تاريخ النشر
2026-03-12
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OneUptime الأقدم من 10.0.23
الوصف
تتعرض واجهة برمجة تطبيقات (API) تجميع بيانات القياس عن بُعد في OneUptime لهجمات حقن SQL بسبب الاستيفاء المباشر للمعلمات التي يتحكم فيها المستخدم، وهي
aggregationType وaggregateColumnName وaggregationTimestampColumnName، في استعلامات SQL الخاصة بـ ClickHouse باستخدام الطريقة .append(). وقد تم توثيق هذه الطريقة على أنها تقبل ”SQL الموثوق به“ دون أي تحقق من صحة المدخلات أو قائمة السماح أو ربط الاستعلام بالمعلمات. يمكن للمستخدم المصادق عليه استغلال هذه الثغرة لحقن تعليمات برمجية SQL تعسفية في ClickHouse، مما قد يؤدي إلى الحصول على حق الوصول الكامل لقراءة قاعدة البيانات (بما في ذلك بيانات القياس عن بُعد من جميع المستأجرين)، وتعديل البيانات، وتنفيذ التعليمات البرمجية عن بُعد عبر دوال جداول ClickHouse. نقاط نهاية واجهة برمجة التطبيقات (API) المعنية هي POST /{modelName}/aggregate، والتي تستخدم على وجه التحديد المعلمة aggregateBy. تكمن الثغرة الأمنية في ملفَي Common/Server/API/BaseAnalyticsAPI.ts وCommon/Server/Services/AnalyticsDatabaseService.ts. يتضمن مسار الهجوم إرسال طلب POST مُصمم خصيصًا إلى نقطة نهاية واجهة برمجة التطبيقات (API) مع حمولة ضارة في المعلمة aggregateBy، والتي يتم بعد ذلك ربطها مباشرةً باستعلام SQL. وهذا يسمح للمهاجم بتنفيذ أوامر SQL تعسفية داخل قاعدة بيانات ClickHouse.التوصيات
يجب تحديث الإصدارات الأقدم من 10.0.23 إلى الإصدار 10.0.23 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾