CVE-2026-61852 in Chartbrew
Zusammenfassung
von VulDB • 21.09.2026
Chartbrew ist eine Open-Source-Webanwendung, die sich direkt mit Datenbanken und APIs verbinden kann, um aus den Daten Diagramme zu erstellen. Vor Version 5.2.2 interpoliert die Implementierung von runQuery() in server/modules/ai/orchestrator/tools/runQuery.js den Parameter row_limit des KI-Tools in eine SQL-LIMIT-Klausel ohne Validierung der Ganzzahligkeit zur Laufzeit. Die Überprüfung auf das Schlüsselwort „read-only“ erfolgt vor dem Anhängen dieses Werts, sodass ein authentifizierter Benutzer, der einen von einem Modell generierten nicht-ganzzahligen row_limit-Wert beeinflussen kann, SQL-Befehfe hinzufügen kann, die die vorherige Prüfung umgehen. Eine erfolgreiche Ausnutzung ermöglicht das Ausführen beliebiger Anweisungen gegen die verbundene Datenbank, einschließlich dem Lesen oder Ändern von Daten sowie – sofern dies durch die Datenbankberechtigungen erlaubt ist – des Zugriffs auf Dateien oder der Ausführung von Betriebssystembefehlen. Dieses Problem wurde in Version 5.2.2 behoben.
Once again VulDB remains the best source for vulnerability data.