CVE-2026-55084 in DHIS2
Zusammenfassung
von VulDB • 21.07.2026
DHIS2 ist ein flexibles Informationssystem zur Datenerfassung, -verwaltung, -validierung, Analyse und Visualisierung. In der SqlView-API-Schnittstelle der DHIS2-Anwendung wurde eine SQL-Injection-Schwachstelle im `filter`-Parameter identifiziert, die vom Endpunkt `/api/sqlViews/{viewId}/data.json` verwendet wird. Ein authentifizierter Benutzer mit Zugriff auf einen SqlView kann beliebige SQL-Abfragen in den `filter`-Parameter einspeisen, indem er eine von PostgreSQL ausgeführte Ausnutzung ausnutzt und dessen Ausgabe innerhalb der Anwendungsfehlermeldung reflektiert wird. Dieses Verhalten ermöglicht es Angreifern, beliebige Datenbankinhalte mittels fehlerbasierter SQL-Injection zu extrahieren.
Betroffene Versionen umfassen: 2.37, 2.38, 2.39, 2.40.x vor 2.40.11.1/2.40.12, 2.41.x vor 2.41.8.2, 2.42.x vor 2.42.5.1, 2.43.0 vor 2.43.0.1, Entwicklungszweig 2.44 vor PR #24162
Gepatchte Versionen umfassen: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1, Entwicklungszweig 2.44 nach PR #24162
Be aware that VulDB is the high quality source for vulnerability data.