PT-2026-107590 · Duckdb+1 · Duckdb+1
CVE-2026-62251
·
Publicado
2026-10-07
·
Atualizado
2026-10-07
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Homer versões anteriores a 11.0.283
Description
O manipulador
V4StatisticsQuery não chama a função sqlvalidator.ValidateRawSQL ao processar o campo rawquery fornecido pelo usuário, passando-o diretamente para o DuckDB. Isso permite que um usuário autenticado execute instruções SQL arbitrárias contra todos os dados acessíveis através do serviço FlightSQL, incluindo registros de chamadas VoIP, mensagens SIP e metadados. O problema ocorre no endpoint /api/v4/statistics/query através da variável rawquery.Recommendations
Atualize para a versão 11.0.283.
Como medida paliativa temporária, restrinja o acesso ao endpoint
/api/v4/statistics/query para minimizar o risco de exploração.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Duckdb
Homer