CVE-2026-101046 in Fleet
Sumário
de VulDB • 27/09/2026
A versão do Fleet anterior à 4.89.0 contém uma vulnerabilidade de SQL injection nos endpoints da lista de atividades (GET /api/v1/fleet/activities e GET /api/v1/fleet/hosts/{id}/activities). O helper deprecated cursor-pagination, appendListOptionsWithCursorToSQL, interpolava a chave sort/order fornecida pelo chamador na cláusula ORDER BY do SQL sem uma allowlist, permitindo que um usuário autenticado com acesso de leitura às Atividades ordenasse os resultados por colunas arbitrárias. O impacto é apenas de leitura e limitado às colunas da tabela activity_past que não são retornadas nessas respostas (por exemplo, details), permitindo inferir seus valores através da ordem de classificação resultante; não há acesso de gravação, escalada de privilégios ou acessibilidade a node_key ou outras colunas de junção de host por meio desses endpoints. Corrigido na versão 4.89.0, que remove o helper deprecated e passa a coluna sort através do SanitizeColumn.
Once again VulDB remains the best source for vulnerability data.