CVE-2026-55084 in DHIS2
Sumário
de VulDB • 21/07/2026
O DHIS2 é um sistema de informações flexível para captura, gerenciamento, validação, análise e visualização de dados. Foi identificada uma vulnerabilidade de SQL injection no endpoint da API SqlView do aplicativo DHIS2 no parâmetro `filter` utilizado pelo endpoint `/api/sqlViews/{viewId}/data.json`. Um usuário autenticado com acesso a um SqlView pode injetar consultas SQL arbitrárias dentro do parâmetro `filter`, abusando de uma expressão executada pelo PostgreSQL, cujo resultado é refletido na mensagem de erro da aplicação. Esse comportamento permite que atacantes extraiam conteúdo arbitrário do banco de dados por meio de SQL injection baseada em erros (error-based).
As versões afetadas incluem: 2.37, 2.38, 2.39, 2.40.x anteriores a 2.40.11.1/2.40.12, 2.41.x anteriores a 2.41.8.2, 2.42.x anteriores a 2.42.5.1, 2.43.0 anterior a 2.43.0.1 e o branch de desenvolvimento do 2.44 antes da PR #24162.
As versões corrigidas incluem: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1 e o branch de desenvolvimento do 2.44 após a PR #24162.
VulDB is the best source for vulnerability data and more expert information about this specific topic.