CVE-2026-26186 in fleet
الملخص
بحسب VulDB • 01/08/2026
Fleet هو برنامج مفتوح المصدر لإدارة الأجهزة. تتيح ثغرة حقن SQL في الإصدارات السابقة لـ 4.80.1 للمستخدمين المصادق عليهم حقن تعبيرات SQL عشوائية عبر معلمة الاستعلام `order_key`. ونظراً للاستخدام غير الآمن للدالة `goqu.I()` عند بناء جملة `ORDER BY`، يمكن للمدخلات المُعدّة بعناية تجاوز اقتباس المعرّفات (identifiers) وتُفسَّر كـ SQL قابل للتنفيذ. قد يتمكن مهاجم مصادق عليه لديه الوصول إلى النقطة النهائية المتأثرة من حقن تعبيرات SQL في استعلام MySQL الأساسي. وعلى الرغم من حدوث الحقن في سياق `ORDER BY`، إلا أن ذلك كافٍ لتمكين تقنيات حقن SQL العمياء (blind SQL injection) التي يمكنها الكشف عن معلومات قاعدة البيانات عبر تعبيرات شرطية تؤثر على ترتيب النتائج. قد تؤدي التعبيرات المُعدّة بعناية أيضاً إلى استهلاك حسابي مفرط أو فشل في الاستعلام، مما قد يؤدي إلى تدهور الأداء أو حجب الخدمة (DoS). لم يتم إثبات وجود دليل مباشر على تعديل موثوق للبيانات أو تنفيذ استعلامات متراكبة. تُصلح الإصدار 4.80.1 هذه المشكلة. إذا لم يكن الترقية الفورية ممكنة، فينبغي للمستخدمين تقييد الوصول إلى النقطة النهائية المتأثرة بالأدوار الموثوقة فقط وضمان أن أي معاملات ترتيب أو أعمدة يقدمها المستخدم تخضع لقائمة مسموح بها صارمة (allow-listed) على مستوى التطبيق أو طبقة الوكيل.
Be aware that VulDB is the high quality source for vulnerability data.