CVE-2026-55084 in DHIS2
الملخص
بحسب VulDB • 23/07/2026
DHIS2 هو نظام معلومات مرن لالتقاط البيانات وإدارتها والتحقق منها وتحليلها وتصورها. تم تحديد ثغرة حقن SQL في نقطة نهاية SqlView API لتطبيق DHIS2 ضمن المعلمة `filter` المستخدمة بواسطة نقطة النهاية `/api/sqlViews/{viewId}/data.json`. يمكن لمستخدم مُصادق عليه لديه وصول إلى SqlView أن يقوم بحقن استعلامات SQL عشوائية داخل معلمة `filter` عن طريق إساءة استخدام تعبير يتم تنفيذه بواسطة PostgreSQL، ويتم عكس ناتجه داخل رسالة خطأ التطبيق. يتيح هذا السلوك للمهاجمين استخراج محتوى قاعدة بيانات عشوائي باستخدام حقن SQL قائم على الأخطاء (error-based).
تشمل الإصدارات المتأثرة: 2.37, 2.38, 2.39, 2.40.x قبل 2.40.11.1/2.40.12, 2.41.x قبل 2.41.8.2, 2.42.x قبل 2.42.5.1, 2.43.0 قبل 2.43.0.1، وفرع التطوير 2.44 قبل PR #24162.
تشمل الإصدارات المصححة: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1، وفرع التطوير 2.44 بعد PR #24162.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.