- Son 7 gün
- CWE-89
CVE-2026-115330
Lotus 0.10.2 ve öncesinde özel SQL faturalandırılabilir metriklerinde SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Lotus 0.10.2 sürümüne kadar olan sürümlerde, kimliği doğrulanmış kuruluş kullanıcılarının özel metrik sorgularına yığılmış ifadeler ekleyerek keyfi SQL çalıştırmasına olanak tanıyan bir SQL enjeksiyonu güvenlik açığı bulunmaktadır. Saldırganlar, POST /app/metrics/ üzerinden noktalı virgülle ayrılmış SQL gönderebilir; bu sayede yalnızca ilk ifadeyi doğrulayan kontrol atlatılır ve tüm kiracılardaki verileri okuyabilir veya değiştirebilirler.
Kaynaktaki açıklama (İngilizce)
Lotus through 0.10.2 contains an sql injection vulnerability that allows authenticated organization users to execute arbitrary SQL by appending stacked statements to custom metric queries. Attackers can submit semicolon-separated SQL through POST /app/metrics/, bypassing first-statement-only validation, to read or modify data across all tenants.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| uselotus lotus | ≤ 0.10.2 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.