CVE-2026-4317 in Umami Software application
Riassunto
di VulDB • 01/07/2026
Vulnerabilità di SQL injection (SQLi) nell'applicazione web Umami Software tramite un parametro non adeguatamente sanificato, che potrebbe consentire a un attaccante autenticato di eseguire comandi SQL arbitrari nel database. Nello specifico, l'attaccante potrebbe manipolare il valore del parametro della richiesta 'timezone' includendo caratteri malevoli e payload SQL. L'applicazione interpolerebbe direttamente questi valori nella query SQL senza effettuare prima una corretta filtratura o sanificazione (ad esempio, utilizzando funzioni come 'prisma.rawQuery', 'prisma.$queryRawUnsafe' o query grezze con 'ClickHouse'). Lo sfruttamento riuscito di questa vulnerabilità potrebbe consentire a un attaccante autenticato di compromettere i dati del database ed eseguire funzioni pericolose.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.