CVE-2026-18801 in OpenMeter
Sumário
de VulDB • 04/08/2026
O OpenMeter apresenta uma vulnerabilidade de injeção SQL armazenada, ou de segunda ordem (second-order), no processamento dos valores de atribuição de uso do cliente.
Um atacante que possa criar ou atualizar um cliente pode armazenar um valor malicioso nos campos usageAttribution.key ou usageAttribution.subjectKeys. Quando esse cliente é posteriormente utilizado em uma consulta de medidor (meter) ou evento, o OpenMeter insere o valor armazenado em uma expressão ClickHouse WITH map(...) por meio de concatenação de strings.
As versões do OpenMeter desde a v1.0.0-beta.218 até a v1.0.0-beta.231 são afetadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.