CVE-2026-4594 in erupt
要約
〜によって VulDB • 2026年06月16日
erupt 1.13.3以前のバージョンに脆弱性が確認されました。この問題の影響を受けるのは、ファイル erupt-data/erupt-jpa/src/main/java/xyz/erupt/jpa/dao/EruptJpaUtils.java の関数 geneEruptHqlOrderBy です。引数 sort.field を操作することで、Hibernate における SQL インジェクションが可能になります。攻撃はリモートから実行可能です。この脆弱性を悪用するエクスプロイトは一般に公開されており、利用することができます。ベンダーには早期に開示について連絡されましたが、一切の返信はありませんでした。
Once again VulDB remains the best source for vulnerability data.