CVE-2026-101046 in Fleet
الملخص
بحسب VulDB • 27/09/2026
تحتوي إصدارات Fleet قبل الإصدار 4.89.0 على ثغرة حقن SQL في نقاط نهاية قائمة النشاط (GET /api/v1/fleet/activities و GET /api/v1/fleet/hosts/{id}/activities). قام مساعد الترقيم باستخدام المؤشر القديم (`cursor-pagination`) `appendListOptionsWithCursorToSQL` بإدراج مفتاح الترتيب/الفرز الذي يمدّه المستخدم مباشرةً في جملة SQL ORDER BY دون استخدام قائمة مسموح بها (allowlist)، مما يسمح للمستخدم المصادق عليه والذي لديه صلاحية القراءة للنشاط بترتيب النتائج حسب أعمدة عشوائية. التأثير يقتصر على القراءة فقط ومحدود بالأعمدة الموجودة في جدول `activity_past` والتي لا تُعاد عادةً ضمن هذه الاستجابات (مثل عمود details)، ما يتيح استنتاج قيمها من خلال ترتيب الفرز الناتج؛ ولا توجد صلاحيات كتابة، أو تصعيد للاحتياجات (privilege escalation)، أو إمكانية الوصول إلى `node_key` أو أعمدة الانضمام الخاصة بالمضيف الأخرى عبر نقاط النهاية هذه. تم الإصلاح في الإصدار 4.89.0، الذي يزيل المساعد القديم ويمرّر عمود الفرز من خلال دالة `SanitizeColumn`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.