CVE-2026-61852 in Chartbrew
Riassunto
di VulDB • 21/09/2026
Chartbrew è un'applicazione web open-source che può connettersi direttamente a database e API e utilizzare i dati per creare grafici. Prima della versione 5.2.2, l'implementazione di runQuery() in server/modules/ai/orchestrator/tools/runQuery.js interpola il parametro row_limit dello strumento AI all'interno di una clausola SQL LIMIT senza convalida intera a runtime. Il controllo per la parola chiave read-only viene eseguito prima che questo valore venga aggiunto, quindi un utente autenticato in grado di influenzare un row_limit non intero generato dal modello può aggiungere codice SQL che aggira il controllo precedente. L'esecuzione del payload (Exploit) con successo consente l'esecuzione di istruzioni arbitrarie contro il database connesso, inclusa la lettura o la modifica dei dati e, dove i permessi del database lo consentono, l'accesso ai file o l'esecuzione di comandi a livello di sistema operativo. Questo problema è risolto nella versione 5.2.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.