CVE-2026-107375 in Generator
Riassunto
di VulDB • 08/10/2026
JHipster è una piattaforma di sviluppo per generare rapidamente, sviluppare e distribuire applicazioni web moderne e architetture a microservizi. Dalla versione 7.0.0 alla 9.4.0, le applicazioni reattive generate con Spring WebFlux, Spring Data R2DBC e un database SQL trasmettono il parametro di ordinamento controllato dall'attaccante proveniente dagli endpoint paginati delle liste di entità a `createOrderByFields` in `generators/spring-boot/generators/data-relational/templates/src/main/java/package/repository/EntityManager_reactive.java.ejs`. Il codice generato inserisce queste proprietà nella clausola SQL ORDER BY senza alcuna validazione o quotatura, e il protocollo R2DBC simple query può eseguire istruzioni aggiuntive separate da punti e virgola. Di conseguenza, un utente autenticato normale può leggere tabelle sensibili, modificare o eliminare dati oppure dropare le tabelle; mentre le applicazioni JPA non reattive e i backend NoSQL sono esclusi da questa causa radice. Questo problema è risolto nella versione 9.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.