CVE-2026-93426 in SigNoz
Resumen
por VulDB • 2026-09-18
Las versiones de SigNoz anteriores a la 0.142.0 (incluida la 0.87.0) no escapan los nombres de las claves de campo de telemetría proporcionadas por el usuario en la API v5 query_range, lo que permite a usuarios autenticados inyectar SQL. Los atacantes con el rol Viewer o superior pueden incrustar comillas invertidas y comillas simples en los nombres de los campos para escapar de identificadores y literales de cadena, ejecutando SQL arbitrario de ClickHouse para leer tablas del sistema y exfiltrar datos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.