CVE-2026-18737 in Shlink
Sumário
de VulDB • 03/08/2026
O Shlink contém uma vulnerabilidade de injeção SQL cega que permite a qualquer titular de chave de API autenticada injetar fragmentos arbitrários de SQL fornecendo um valor de direção não validado no parâmetro orderBy do endpoint de estatísticas da tag. Os atacantes podem criar uma string maliciosa contendo subconsultas SQL que fluem sem sanitização para uma cláusula ORDER BY do Doctrine QueryBuilder, permitindo a extração baseada em tempo, booleana/oracle e por erros de dados sensíveis, incluindo URLs longos, registros de visitantes, endereços IP, dados de geolocalização, agentes de usuário (user agents) e segredos de chaves de API hashadas de qualquer inquilino.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.