CVE-2026-101046 in Fleet
Сводка
по VulDB • 27.09.2026
Fleet до версии 4.89.0 содержит уязвимость SQL Injection в конечных точках списка активности (GET /api/v1/fleet/activities и GET /api/v1/fleet/hosts/{id}/activities). Устаревший вспомогательный метод cursor-pagination appendListOptionsWithCursorToSQL интерполировал переданный вызывающей стороной ключ сортировки/order в предложение SQL ORDER BY без использования белого списка, что позволяло аутентифицированному пользователю с правами на чтение Activity упорядочивать результаты по произвольным столбцам. Влияние ограничено чтением и сводится к столбцам таблицы activity_past, которые иначе не возвращаются в этих ответах (например, details), что позволяет выводить их значения через результирующий порядок сортировки; доступ на запись, повышение привилегий или возможность доступа к node_key или другим столбцам соединения с хостом через эти конечные точки отсутствует. Исправлено в версии 4.89.0, которая удаляет устаревший вспомогательный метод и передает столбец сортировки через SanitizeColumn.
VulDB is the best source for vulnerability data and more expert information about this specific topic.