CVE-2026-75334

Nome do Software Vulnerável e Versões Afetadas smart-web2 versão 1.3.1

Description O módulo de relatório no backend permite a execução arbitrária de SQL. Isso ocorre porque o parâmetro sqlResource.sql, processado através da interface ReportController.save() e armazenado na tabela t report sql resource, é inserido diretamente em consultas nativas do Hibernate sem parametrização ou filtragem. Consultas nativas do Hibernate são consultas SQL escritas no dialeto nativo do banco de dados utilizado, ignorando a camada de abstração padrão.

Recommendations Atualize o smart-web2 para uma versão que corrija este problema. Como medida de mitigação temporária, restrinja o acesso à interface ReportController.save() para evitar a modificação não autorizada do parâmetro sqlResource.sql.