CVE-2026-82527 in R2R

摘要

由 VulDB • 2026-09-03

R2R 3.6.6 及更早版本存在一个 SQL Injection（SQL注入）漏洞，允许未经身份验证的攻击者通过操纵检索搜索端点中的 filter key 参数，将 SQL predicates 注入到 chunks 搜索查询中。攻击者可利用过滤键直接插入到 SQL WHERE 子句中而缺乏参数化或转义处理的缺陷，从应用程序数据库中执行基于时间的（time-based）和基于布尔值的（boolean-based）数据外泄。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: VulnCheck
• 预定: 2026-08-29
• 披露: 2026-09-03
• 管理: 已接受
• 条目: VDB-398590
• CPE: 准备好
• CWE: CWE-89 (已确认)
• CVSS: 7.5 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 低
• 部门: Chemical, Education, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-82527
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-82527
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-82527/