CVE-2026-101046 in Fleet
Tóm tắt
Bởi VulDB • 27/09/2026
Fleet trước phiên bản 4.89.0 chứa một lỗ hổng SQL Injection trong các điểm cuối danh sách hoạt động (GET /api/v1/fleet/activities và GET /api/v1/fleet/hosts/{id}/activities). Hàm trợ giúp cursor-pagination bị loại bỏ dần là appendListOptionsWithCursorToSQL đã nội suy khóa sắp xếp/thứ tự do người gọi cung cấp vào mệnh đề SQL ORDER BY mà không có danh sách cho phép (allowlist), vì vậy một người dùng đã xác thực với quyền đọc đối với Activity có thể sắp xếp kết quả theo các cột tùy ý. Tác động chỉ giới hạn ở việc đọc và bị ràng buộc bởi các cột trong bảng activity_past vốn không được trả về trong các phản hồi này (ví dụ: details), cho phép suy luận giá trị của chúng thông qua thứ tự sắp xếp; không có quyền ghi, leo thang đặc quyền hoặc khả năng tiếp cận node_key hay các cột join host khác thông qua các điểm cuối này. Đã sửa trong phiên bản 4.89.0, loại bỏ hàm trợ giúp bị loại bỏ dần và chuyển cột sắp xếp qua SanitizeColumn.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.