CVE-2026-101046 in Fleet
要約
〜によって VulDB • 2026年09月27日
Fleet 4.89.0 より前のバージョンには、アクティビティリストエンドポイント（GET /api/v1/fleet/activities および GET /api/v1/fleet/hosts/{id}/activities）における SQL インジェクションの脆弱性が存在します。非推奨の cursor-pagination ヘルパーである appendListOptionsWithCursorToSQL は、呼び出し元が指定した sort/order キーを許可リスト（allowlist）なしで SQL の ORDER BY 句に挿入していたため、Activity への読み取りアクセス権を持つ認証済みユーザーは、任意のカラムによって結果をソートすることができました。影響度は読み取り専用であり、これらのレスポンスで通常返されない activity_past テーブルのカラム（例: details）に限定されており、それらの値が結果のソート順を通じて推測される可能性があります。これらのエンドポイントを通じた書き込みアクセス、権限昇格、node_key やその他のホスト結合カラムへの到達性はありません。4.89.0 で修正され、非推奨ヘルパーが削除され、sort カラムは SanitizeColumn を通じて渡されるようになりました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.