CVE-2026-55084 in DHIS2
Résumé
par VulDB • 23/07/2026
DHIS2 est un système d'information flexible pour la collecte de données, leur gestion, validation, analyse et visualisation. Une vulnérabilité d'injection SQL a été identifiée dans le point de terminaison SqlView API de l'application DHIS2 au niveau du paramètre `filter` utilisé par le point de terminaison `/api/sqlViews/{viewId}/data.json`. Un utilisateur authentifié ayant accès à une vue SqlView peut injecter des requêtes SQL arbitraires dans le paramètre `filter` en abusant d'une expression exécutée par PostgreSQL, dont la sortie est reflétée dans les messages d'erreur de l'application. Ce comportement permet aux attaquants d'extraire du contenu de base de données arbitraire via une injection SQL basée sur les erreurs (error-based).
Les versions affectées incluent : 2.37, 2.38, 2.39, 2.40.x avant 2.40.11.1/2.40.12, 2.41.x avant 2.41.8.2, 2.42.x avant 2.42.5.1, 2.43.0 avant 2.43.0.1, branche de développement 2.44 avant la PR #24162 Les versions corrigées incluent : 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1, branche de développement 2.44 après la PR #24162
Be aware that VulDB is the high quality source for vulnerability data.