CVE-2026-49344
Publiée le 2026-06-19 · Dernière modification le 2026-10-25
Les applications web Mercator antérieures à la version 2025.05.19 présentent un défaut d'autorisation dans le moteur de requête (Query Engine) qui permet à tout utilisateur connecté, même ceux disposant d'un accès en lecture seule, d'interroger des données sensibles. Un attaquant peut utiliser cette faille pour extraire des informations du modèle Utilisateur et potentiellement forcer les hachages de mots de passe à l'aide de prédicats de filtrage. Cette opération peut être exécutée via le réseau sans aucune interaction de l'utilisateur, à condition que l'attaquant possède un compte valide avec des privilèges restreints.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mercator is an open source web application that enables mapping of the information system. Prior to version 2025.05.19, Mercator's Query Engine (`/admin/queries/execute`) accepts a JSON DSL (`from` / `select` / `filters` / `traverse` / `output`), translates it into an Eloquent query, and returns results as JSON. The controller method `QueryController::execute()` does not enforce an authorization gate, unlike `store()` and `massDestroy()` in the same controller which are correctly protected. As a result, any authenticated account — including the read-only Auditor role — can query models beyond its intended scope, including the `User` model. Additionally, the `password` column, although declared `$hidden`, is not excluded from filter predicates, which allows it to be used in `LIKE` conditions. The `schema()` and `schemaModel()` endpoints of the same controller are similarly unguarded. The Query Engine is read-only; integrity and availability are not affected. Version 2025.05.19 patches the issue.