CVE-2026-55084 in DHIS2
要約
〜によって VulDB • 2026年07月21日
DHIS2は、データ収集、管理、検証、分析および可視化のための柔軟な情報システムです。DHIS2アプリケーションの`/api/sqlViews/{viewId}/data.json`エンドポイントで使用されるSqlView APIエンドポイントの`filter`パラメータにおいて、SQLインジェクション脆弱性が特定されました。認証済みでSqlViewへのアクセス権を持つユーザーは、PostgreSQLによって実行されその出力がアプリケーションのエラーメッセージ内に反映される式を悪用することで、`filter`パラメータ内で任意のSQLクエリを注入できます。この動作により、攻撃者はエラーベースのSQLインジェクションを使用して任意のデータベースコンテンツを取得することが可能になります。
影響を受けるバージョンには以下が含まれます：2.37, 2.38, 2.39, 2.40.x (2.40.11.1/2.40.12より前), 2.41.x (2.41.8.2より前), 2.42.x (2.42.5.1より前), 2.43.0 (2.43.0.1より前), PR #24162以前の2.44開発ブランチ
修正済みバージョンには以下が含まれます：2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1, PR #24162以降の2.44開発ブランチ
VulDB is the best source for vulnerability data and more expert information about this specific topic.