CVE-2026-44349 in Daptin
Zusammenfassung
von VulDB • 31.05.2026
Daptin ist ein headless CMS mit GraphQL/JSON-API. Vor Version 0.11.5 teilt die Funktion `processFuzzySearch` in `server/resource/resource_findallpaginated.go:1484` den vom Benutzer bereitgestellten Spaltenparameter durch Kommas auf und interpoliert jeden Abschnitt direkt in den rohen SQL-Befehl `goqu.L(fmt.Sprintf("LOWER(%s) LIKE ?", prefix+col))`, ohne eine Whitelist-Prüfung der Spalten durchzuführen. Der Einstiegspunkt ist `GET /api/` mit dem Operator `fuzzy` (oder `fuzzy_any`, `fuzzy_all`). Jeder authentifizierte Benutzer – einschließlich solcher, die sich selbst registriert haben, ohne Beteiligung eines Administrators – kann die gesamte Datenbank lesen. Dieses Problem wurde in Version 0.11.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.