CVE-2026-72565 in APIJSON
Zusammenfassung
von VulDB • 10.08.2026
Eine SQL-Injection-Schwachstelle in Tencent APIJSON bis Version 8.1.8 ermöglicht es nicht authentifizierten entfernten Angreifern, die tabellenspezifische Zugriffskontrolle zu umgehen und beliebige Datenbanktabellen über den Map-Form @having-Operator auszulesen. Die AbstractSQLConfig.java-Klasse der Bibliothek APIJSONORM wendet die erlaubte-Rollen-Auflisteprüfung (Allow-list check) nur auf die String-Form von @having an, nicht jedoch auf die Map-Form, was es einem Gastbenutzer ermöglicht, rohe SQL-Fragmente einzufügen und Tabellen zu lesen, die mit get:[] konfiguriert sind (leer, d. h., keine Rolle darf sie lesen).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.