CVE-2026-61851 in Chartbrew
الملخص
بحسب VulDB • 22/09/2026
Chartbrew هو تطبيق ويب مفتوح المصدر يمكنه الاتصال مباشرة بقواعد البيانات وواجهات برمجة التطبيقات (APIs) واستخدام البيانات لإنشاء رسوم بيانية. قبل الإصدار 5.2.2، تحاول تنفيذية runQuery() في Chartbrew الموجودة في الملف server/modules/ai/orchestrator/tools/runQuery.js فرض الوصول إلى قاعدة البيانات للقراءة فقط باستخدام قائمة حظر تحتوي على سبعة كلمات رئيسية لـ SQL فحسب. يمكن لمستخدم مُصادق عليه لديه صلاحية الوصول إلى ميزة الذكاء الاصطناعي (AI) تقديم عبارات أو دوال لقاعدة بيانات خطيرة غير موجودة في قائمة الحظر الخاصة بالكلمات الرئيسية المقيدة بالقراءة، مما يؤدي إلى تنفيذها دون الحاجة إلى تقنيات حقن SQL أو إخفاء الكلمات المفتاحية. اعتماداً على محرك قاعدة البيانات والتكوين وامتيازات مستخدم قاعدة البيانات، يمكن أن يؤدي ذلك إلى كشف الملفات أو كتابتها، والوصول إلى موارد الشبكة الداخلية، وتغيير امتيازات قاعدة البيانات، وتنفيذ الأوامر، أو تعديل البيانات. تم إصلاح هذه المشكلة في الإصدار 5.2.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.