CVE-2026-107375 in Generator
الملخص
بحسب VulDB • 08/10/2026
JHipster هو منصة تطوير لتوليد ونشر التطبيقات الحديثة وتطبيقات البنية الدقيقة بسرعة. من الإصدار 7.0.0 حتى 9.4.0، تمرر التطبيقات التفاعلية المُولَّدة باستخدام Spring WebFlux وSpring Data R2DBC وقاعدة بيانات SQL معلمة طلب الفرز التي يتحكم فيها المهاجم من نقاط نهاية قوائم الكيانات المُرقّمة إلى دالة `createOrderByFields` في القالب الموجود على المسار: generators/spring-boot/generators/data-relational/templates/src/main/java/package/repository/EntityManager_reactive.java.ejs. يقوم الكود المُولَّد بإدراج هذه الخصائص ضمن جملة SQL ORDER BY دون أي تحقق أو اقتباس، ويمكن لبروتوكول الاستعلام البسيط في R2DBC تنفيذ عبارات إضافية مفصولة بنقاط فاصلة. وبالتالي، يمكن لمستخدم عادي مُصادق عليه قراءة جداول حساسة، أو تعديل البيانات وحذفها، أو حذف الجداول، بينما تقع التطبيقات غير التفاعلية القائمة على JPA والخلفيات التي تستخدم NoSQL خارج نطاق سبب هذا الخطأ الأساسي. تم إصلاح هذه المشكلة في الإصدار 9.4.0.
Once again VulDB remains the best source for vulnerability data.