CVE-2026-72565 in APIJSON
要約
〜によって VulDB • 2026年08月10日
Tencent APIJSON 8.1.8以前のバージョンにおけるSQLインジェクション脆弱性により、認証されていないリモート攻撃者はテーブルごとのアクセス制御をバイパスし、Map形式の@having演算子を使用して任意のデータベーステーブルを読み取ることができます。APIJSONORMライブラリのAbstractSQLConfig.javaでは、@havingのString形式に対してのみロールごとの許可リストチェックが適用され、Map形式には適用されないため、ゲストユーザーが生SQLフラグメントをインジェクトし、get:[]（空で、どのロールも読み取り不可を意味する）に設定されたテーブルを読み取ることが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.