CVE-2026-8462

Nome do Software Vulnerável e Versões Afetadas OpenMeter (versões afetadas não especificadas)

Description Um locatário autenticado pode realizar a injeção de SQL através dos campos valueProperty ou groupBy do endpoint 'POST /api/v1/meters'. O problema ocorre porque a aplicação utiliza interpolação de string via fmt.Sprintf para construir consultas ClickHouse em vez de utilizar consultas parametrizadas. Especificamente, a função sqlbuilder.Escape() não escapa aspas simples, permitindo que um invasor feche a literal de string e execute comandos SQL arbitrários. Como o banco de dados ClickHouse compartilhado carece de segurança em nível de linha, a exploração bem-sucedida permite que um locatário autenticado leia ou grave dados de medição de qualquer outro locatário, ou potencialmente cause a negação de serviço por meio de consultas que esgotem os recursos.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.