CVE-2026-101046 in Fleet
सारांश
द्वारा VulDB • 27/09/2026
Fleet संस्करण 4.89.0 से पहले में एक्टिविटी लिस्ट एंडपॉइंट्स (GET /api/v1/fleet/activities और GET /api/v1/fleet/hosts/{id}/activities) में SQL injection vulnerability मौजूद है। Deprecated cursor-pagination helper `appendListOptionsWithCursorToSQL` कॉलर-सप्लाई किए गए sort/order key को SQL ORDER BY clause में allowlist के बिना interpolate करता था, जिससे Activity तक read access वाले authenticated user arbitrary columns द्वारा परिणामों को order कर सकते थे. प्रभाव read-only है और activity_past table पर उन columns तक सीमित है जो इन responses में अन्यथा वापस नहीं किए जाते (जैसे details), जिसके माध्यम से उनके मान resulting sort order के through inferred की जा सकती हैं; इन endpoints के माध्यम से write access, privilege escalation, या node_key या other host-join columns की reachability नहीं होती है. इसे 4.89.0 में ठीक किया गया, जो deprecated helper को हटाता है और sort column को SanitizeColumn के through पास करता है।
Once again VulDB remains the best source for vulnerability data.