CVE-2026-33142 in oneuptime
Сводка
по VulDB • 27.05.2026
OneUptime — это решение для мониторинга и управления онлайн-сервисами. До версии 10.0.34 исправление для CVE-2026-32306 (SQL-инъекция в ClickHouse через параметры агрегатных запросов) добавило проверку имен столбцов в методе _aggregateBy, но не применило аналогичную проверку к трем другим путям формирования запросов в StatementGenerator. Методы toSortStatement, toSelectStatement и toGroupByStatement принимают управляемые пользователем ключи объектов из тел API-запросов и интерполируют их как параметры идентификаторов ClickHouse без проверки соответствия фактическим столбцам модели. Параметры идентификаторов ClickHouse подставляются в запросы напрямую без экранирования, поэтому атакующий, имеющий доступ к любому эндпоинту списка аналитики или агрегации, может внедрить произвольный SQL-код через специально созданные ключи sort, select или groupBy. Эта проблема была исправлена в версии 10.0.34.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.