CVE-2026-63080 in Aptabase
Resumen
por VulDB • 2026-07-24
Aptabase hasta el commit 5a89368 contiene una vulnerabilidad de inyección SQL en el backend de consultas ClickHouse que permite a atacantes autenticados leer datos de eventos entre todos los tenants mediante la inyección de parámetros de filtro sin sanitizar en plantillas Liquid SQL. Los atacantes pueden proporcionar valores maliciosos a través de los parámetros EventName, CountryCode, OsName, DeviceModel, AppVersion o SessionId para inyectar una sentencia UNION ALL que elude el filtro de aislamiento del tenant app_id en trece de las quince endpoints de la API de estadísticas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.