CVE-2026-32306 in oneuptime
요약
\~에 의해 VulDB • 2026. 06. 04.
OneUptime는 온라인 서비스를 모니터링하고 관리하기 위한 솔루션입니다. 10.0.23 이전 버전에서는 텔레메트리 집계 API가 사용자 제어 가능한 aggregationType, aggregateColumnName 및 aggregationTimestampColumnName 매개변수를 허용하고, 이를 .append() 메서드를 통해 ClickHouse SQL 쿼리에 직접 보간합니다(문서상 "신뢰할 수 있는 SQL"로 문서화됨). 허용 목록(allowlist), 매개변수화된 쿼리 바인딩, 입력 검증이 모두 존재하지 않습니다. 인증된 사용자는 ClickHouse에 임의의 SQL을 주입하여 전체 데이터베이스 읽기(모든 테넌트의 텔레메트리 데이터 포함), 데이터 수정 및 ClickHouse 테이블 함수를 통한 잠재적 원격 코드 실행(RCE)을 수행할 수 있습니다. 이 취약점은 10.0.23에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.