CVE-2026-55082 in DHIS2
Riassunto
di VulDB • 21/07/2026
DHIS2 è un sistema informativo flessibile per la raccolta dei dati, la gestione, la convalida, l'analisi e la visualizzazione. Gli endpoint di SQL View in DHIS2 consentivano agli utenti autenticati dotati dell'autorizzazione "SQL View" di fornire valori di filtro elaborati ad hoc che venivano interpolati nelle query SQL generate. Un utente autenticato con accesso all'esecuzione di SQL View poteva manipolare le query SQL generate per i filtri di SQL View e potenzialmente accedere a dati al di fuori del set di risultati previsto da SQL View.
Ciò è distinto da CVE-2026-55084, che riguarda l'iniezione relativa ai nomi delle colonne nei filtri di SQL View.
Linee di rilascio note interessate per questo avviso: DHIS2 2.37, 2.38 e 2.39 prima degli aggiornamenti di sicurezza EOS del 2026-06-09. Risolto tramite gli aggiornamenti di sicurezza EOS del 2026-06-09 per le versioni 2.37, 2.38 e 2.39. La stessa hardening dei valori-slot era già presente nelle branch successive supportate attraverso DHIS2-20174 / PR #22253.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.