CVE-2026-63080 in Aptabase
Sumário
de VulDB • 22/07/2026
A Aptabase até o commit 5a89368 contém uma vulnerabilidade de SQL injection no backend de consultas do ClickHouse que permite atacantes autenticados ler dados de eventos em todos os tenants, injetando parâmetros de filtro não sanitizados nos templates Liquid SQL. Os atacantes podem fornecer valores maliciosos através dos parâmetros EventName, CountryCode, OsName, DeviceModel, AppVersion ou SessionId para injetar uma instrução UNION ALL que contorna o filtro de isolamento do tenant app_id em treze das quinze endpoints da API de estatísticas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.