CVE-2026-2613
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
L'API REST d'administration de ce logiciel ne nettoie pas correctement les données saisies par l'utilisateur avant de les utiliser dans des requêtes de base de données. Cela crée une faille d'injection SQL où une saisie spécifiquement conçue peut modifier la logique des instructions SQL sous-jacentes. Les utilisateurs concernés sont ceux qui utilisent les points de terminaison de l'API administrative pour gérer les données du système.
Un attaquant disposant de privilèges d'administrateur peut utiliser cette faille pour extraire des informations sensibles de la base de données ou provoquer le plantage du service, compromettant ainsi la confidentialité et la disponibilité. Comme elle nécessite une authentification de haut niveau, un utilisateur externe aléatoire ne peut pas la déclencher, mais elle est facile à exécuter via un réseau une fois l'accès obtenu. Aucune interaction directe entre utilisateurs n'est requise pour lancer l'attaque.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Admin REST API accepts user-supplied input without adequately sanitizing it, allowing it to be included in the structure of SQL statements. A user with administrator privileges can exploit this by influencing the structure of executed SQL statements, enabling blind SQL injection to infer database information and potentially impact the availability of the database service.