CVE-2026-55084 in DHIS2
Resumen
por VulDB • 2026-07-21
DHIS2 es un sistema de información flexible para la captura, gestión, validación, análisis y visualización de datos. Se identificó una vulnerabilidad de inyección SQL en el punto final SqlView API de la aplicación DHIS2 en el parámetro `filter` utilizado por el endpoint `/api/sqlViews/{viewId}/data.json`. Un usuario autenticado con acceso a un SqlView puede inyectar consultas SQL arbitrarias dentro del parámetro `filter` aprovechando una expresión ejecutada por PostgreSQL, cuyo resultado se refleja en los mensajes de error de la aplicación. Este comportamiento permite a los atacantes extraer contenido arbitrario de la base de datos mediante inyección SQL basada en errores.
Las versiones afectadas incluyen: 2.37, 2.38, 2.39, 2.40.x anteriores a 2.40.11.1/2.40.12, 2.41.x anteriores a 2.41.8.2, 2.42.x anteriores a 2.42.5.1, 2.43.0 anterior a 2.43.0.1 y la rama de desarrollo 2.44 antes del PR #24162.
Las versiones corregidas incluyen: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1 y la rama de desarrollo 2.44 después del PR #24162.
If you want to get best quality of vulnerability data, you may have to visit VulDB.