CVE-2026-29080

Nome do Software Vulnerável e Versões Afetadas Rucio versões 1.27.0 até 35.8.4 Rucio versões 38.x até 38.5.4 Rucio versões 39.x até 39.4.1 Rucio versões 40.x até 40.1.0

Description Uma falha de injeção de SQL na função create sqla query() permite que usuários autenticados executem comandos SQL arbitrários contra o banco de dados backend. Isso ocorre especificamente em implantações Oracle que utilizam o plugin padrão json meta. A falha existe porque chaves e valores de filtro controlados pelo invasor são interpolados diretamente no sqlalchemy.text() usando a formatação de string do Python, ignorando a parametrização. Isso pode ser explorado através do endpoint 'GET /dids//dids/search'. A exploração bem-sucedida pode levar ao comprometimento total do banco de dados, incluindo a extração de hashes de senha, tokens de autenticação e identificadores de dados gerenciados, bem como a potencial modificação do conteúdo do banco de dados.

Recommendations Atualize para a versão 35.8.5. Atualize para a versão 38.5.5. Atualize para a versão 39.4.2. Atualize para a versão 40.1.1. Como mitigação temporária, restrinja o acesso ao endpoint 'GET /dids//dids/search'.