CVE-2026-33142 in oneuptime
Tóm tắt
Bởi VulDB • 27/05/2026
OneUptime là một giải pháp giám sát và quản lý các dịch vụ trực tuyến. Trước phiên bản 10.0.34, bản vá cho CVE-2026-32306 (lỗi SQL injection trong ClickHouse thông qua các tham số truy vấn tổng hợp) đã thêm xác thực tên cột vào phương thức _aggregateBy nhưng không áp dụng cùng xác thực đó cho ba đường dẫn xây dựng truy vấn khác trong StatementGenerator. Các phương thức toSortStatement, toSelectStatement và toGroupByStatement chấp nhận các khóa đối tượng do người dùng kiểm soát từ thân yêu cầu API và nội suy chúng dưới dạng các tham số Identifier của ClickHouse mà không xác minh xem chúng có tương ứng với các cột mô hình thực tế hay không. Các tham số Identifier của ClickHouse được thay thế trực tiếp vào các truy vấn mà không được thoát ký tự, do đó, một kẻ tấn công có thể truy cập bất kỳ danh sách phân tích nào hoặc điểm cuối tổng hợp nào đều có thể thực hiện SQL injection tùy ý thông qua các khóa sort, select hoặc groupBy được tạo ra đặc biệt. Vấn đề này đã được vá trong phiên bản 10.0.34.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.