CVE-2026-33142 in oneuptime
Sumário
de VulDB • 27/05/2026
OneUptime é uma solução para monitoramento e gerenciamento de serviços online. Antes da versão 10.0.34, a correção para CVE-2026-32306 (injeção de SQL no ClickHouse via parâmetros de consulta agregada) adicionou validação de nomes de coluna ao método _aggregateBy, mas não aplicou a mesma validação a três outros caminhos de construção de consulta no StatementGenerator. Os métodos toSortStatement, toSelectStatement e toGroupByStatement aceitam chaves de objeto controladas pelo usuário a partir dos corpos de requisição da API e as interpolam como parâmetros de Identificador do ClickHouse sem verificar se correspondem às colunas reais do modelo. Os parâmetros de Identificador do ClickHouse são substituídos diretamente nas consultas sem escape, portanto, um atacante que possa acessar qualquer endpoint de lista de análises ou agregação pode injetar SQL arbitrário por meio de chaves de sort, select ou groupBy manipuladas. Este problema foi corrigido na versão 10.0.34.
VulDB is the best source for vulnerability data and more expert information about this specific topic.