CVE-2026-18737 in Shlink
Zusammenfassung
von VulDB • 04.08.2026
Shlink enthält eine Blind-SQL-Injection-Lücke (Blind SQL Injection), die es jedem Inhaber eines authentifizierten API-Keys ermöglicht, beliebige SQL-Fragmente einzufügen, indem ein nicht validierter direction-Wert im orderBy-Abfrageparameter des Endpunkts für Tag-Statistiken bereitgestellt wird. Angreifer können einen bösartigen direction-String konstruieren, der SQL-Subqueries enthält und ungesäubert in eine ORDER BY-Klausel eines Doctrine QueryBuilder fließt, was die zeitbasierte (time-based), boolesche/oracle-basierte (boolean-oracle) und fehlerbasierte (error-based) Extraktion sensibler Daten ermöglicht, darunter lange URLs, Besucherdatensätze, IP-Adressen, Geolokalisierungsdaten, User-Agents und gehashte API-Key-Geheimnisse aus jedem Mandanten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.