CVE-2026-54349

Nome do Software Vulnerável e Versões Afetadas Chartbrew versões anteriores a 5.2.1

Description Um usuário não autenticado pode realizar a injeção de SQL por meio de solicitações de painéis e gráficos públicos ou incorporados que utilizam a função applyMysqlOrPostgresVariables. O problema ocorre porque a substituição de variáveis de painel SQL manipula de forma insegura strings de substituição de JavaScript controladas por atacantes em conectores SQL e falha ao escapar barras invertidas em contextos citados para MySQL e MariaDB. Ao enviar valores de filtro de URL manipulados para um gráfico baseado em uma consulta SQL armazenada, um invasor pode usar sequências de cifrão de strings de substituição ou a manipulação de barras invertidas para alterar consultas SQL. Isso permite que o invasor leia, modifique ou exclua dados acessíveis à conta de banco de dados configurada.

Recommendations Atualizar para a versão 5.2.1.