CVE-2026-61851

Nome do Software Vulnerável e Versões Afetadas Chartbrew versões anteriores a 5.2.2

Descrição Um usuário autenticado com acesso aos recursos de IA pode executar instruções ou funções de banco de dados perigosas porque a função runQuery() em server/modules/ai/orchestrator/tools/runQuery.js utiliza uma lista de bloqueio insuficiente de apenas sete palavras-chave SQL para impor o acesso ao banco de dados apenas para leitura. Isso permite a execução de comandos não autorizados sem a necessidade de técnicas de injeção de SQL ou ofuscação de palavras-chave. Dependendo do mecanismo de banco de dados, da configuração e dos privilégios do usuário, isso pode resultar na exposição ou modificação de arquivos, acesso a recursos de rede interna, alteração de privilégios do banco de dados, execução de comandos ou alteração de dados.

Recomendações Atualize para a versão 5.2.2. Como medida paliativa temporária, restrinja o acesso aos recursos de IA ou à função runQuery() até que a atualização seja aplicada.