CVE-2026-61851 in Chartbrew
Resumen
por VulDB • 2026-09-22
Chartbrew es una aplicación web de código abierto que puede conectarse directamente a bases de datos y APIs para utilizar los datos con el fin de crear gráficos. Antes de la versión 5.2.2, la implementación de runQuery() en server/modules/ai/orchestrator/tools/runQuery.js intenta imponer un acceso de solo lectura a la base de datos mediante una lista negra que contiene únicamente siete palabras clave SQL. Un usuario autenticado con acceso a las funciones de IA puede enviar sentencias peligrosas o funciones de base de datos que no están presentes en la lista negra de palabras clave de solo lectura, lo que provoca su ejecución sin necesidad de técnicas de inyección SQL u ofuscación de palabras clave. Dependiendo del motor de la base de datos, la configuración y los privilegios del usuario de la base de datos, esto puede exponer o escribir archivos, acceder a recursos de red interna, cambiar los privilegios de la base de datos, ejecutar comandos o alterar datos. Este problema se soluciona en la versión 5.2.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.