CVE-2026-85726

Nome do Software Vulnerável e Versões Afetadas Chartbrew versões anteriores a 5.2.3

Descrição Existe um problema na maneira como variáveis MongoDB do tipo data são manipuladas quando colocadas dentro de espaços reservados de consulta entre aspas. Essas variáveis são inseridas como strings não escapadas, ao contrário de strings, números e Booleanos, que são escapados ou coagidos com segurança. Isso afeta gráficos públicos, compartilháveis ou incorporados com suporte a MongoDB que utilizam a substituição de variáveis de data. Um usuário não autenticado pode fornecer um filtro de URL manipulado para um gráfico acessível, permitindo que o valor da data saia do literal entre aspas e altere a lógica da consulta. Isso cria um oráculo Booleano baseado na contagem de linhas retornadas, permitindo a extração de leitura de qualquer campo na coleção consultada, incluindo dados sensíveis não exibidos pelo gráfico, caractere por caractere.

Recomendações Atualizar para a versão 5.2.3.