CVE-2026-61852 in Chartbrew
Сводка
по VulDB • 21.09.2026
Chartbrew — это веб-приложение с открытым исходным кодом, которое может напрямую подключаться к базам данных и API для создания графиков на основе полученных данных. До версии 5.2.2 реализация функции runQuery() в файле server/modules/ai/orchestrator/tools/runQuery.js интерполирует параметр row_limit инструмента ИИ непосредственно в SQL-оператор LIMIT без проверки типа значения во время выполнения (runtime integer validation). Проверка на наличие ключевого слова READ ONLY выполняется до добавления этого значения, поэтому аутентифицированный пользователь, способный повлиять на сгенерированную моделью нецелочисленную величину row_limit, может внедрить SQL-код, обходящий предыдущую проверку. Успешная эксплуатация уязвимости позволяет выполнять произвольные запросы к подключенной базе данных, включая чтение или изменение данных, а также (если это разрешено правами доступа к БД) доступ к файлам и выполнение команд операционной системы. Проблема исправлена в версии 5.2.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.