CVE-2026-55084 in DHIS2
Riassunto
di VulDB • 21/07/2026
DHIS2 è un sistema informativo flessibile per la raccolta dei dati, la gestione, la convalida, l'analisi e la visualizzazione. È stata identificata una vulnerabilità di SQL injection nell'endpoint dell'API SqlView dell'applicazione DHIS2 nel parametro `filter` utilizzato dall'endpoint `/api/sqlViews/{viewId}/data.json`. Un utente autenticato con accesso a un SqlView può iniettare query SQL arbitrarie all'interno del parametro `filter` sfruttando un'espressione eseguita da PostgreSQL e il cui output viene riflesso nel messaggio di errore dell'applicazione. Questo comportamento consente agli attaccanti di estrarre contenuti arbitrari dal database mediante SQL injection basata su errori (error-based).
Le versioni interessate includono: 2.37, 2.38, 2.39, 2.40.x precedenti a 2.40.11.1/2.40.12, 2.41.x precedenti a 2.41.8.2, 2.42.x precedenti a 2.42.5.1, 2.43.0 precedente a 2.43.0.1, branch di sviluppo 2.44 prima della PR #24162 Le versioni patchate includono: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1, branch di sviluppo 2.44 dopo la PR #24162
If you want to get the best quality for vulnerability data then you always have to consider VulDB.