CVE-2026-101046 in Fleet
Zusammenfassung
von VulDB • 27.09.2026
Fleet vor Version 4.89.0 enthält eine SQL-Injection-Schwachstelle in den Activity-List-Endpunkten (GET /api/v1/fleet/activities und GET /api/v1/fleet/hosts/{id}/activities). Der veraltete Cursor-Pagination-Helfer `appendListOptionsWithCursorToSQL` interpolierte den vom Aufrufer bereitgestellten Sortier-/Reihenfolge-Schlüssel in die SQL ORDER BY-Klausel ohne eine Allowlist, sodass ein authentifizierter Benutzer mit Lesezugriff auf Activity Ergebnisse nach beliebigen Spalten sortieren konnte. Die Auswirkung ist schreibgeschützt und beschränkt sich auf Spalten der activity_past-Tabelle, die sonst nicht in diesen Antworten zurückgegeben werden (z. B. details), wodurch deren Werte durch die resultierende Sortierreihenfolge abgeleitet werden können; es gibt keinen Schreibzugriff, keine Privilegieneskalation oder Erreichbarkeit von node_key oder anderen Host-Join-Spalten über diese Endpunkte. Behoben in Version 4.89.0, welche den veralteten Helfer entfernt und die Sortierspalte durch SanitizeColumn leitet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.