- Son 7 gün
- CWE-89
CVE-2026-115331
Lotus 0.10.2 ve öncesinde metrik özellik adları ve filtrelerinde SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Lotus 0.10.2 sürümüne kadar olan sürümlerde, kimliği doğrulanmış kuruluş kullanıcılarının faturalandırılabilir metrik property_name değerlerine veya kategorik filtre değerlerine özel hazırlanmış girdiler vererek SQL enjekte etmesine izin veren bir SQL enjeksiyonu güvenlik açığı bulunmaktadır. Saldırganlar, Jinja ile oluşturulan counter, gauge ve rate metrik sorgularına kaçış karakterleri uygulanmadan yerleştirilen değerlere SQL kodu gömebilir ve tüm kiracıların paylaştığı veritabanına erişebilir.
Kaynaktaki açıklama (İngilizce)
Lotus through 0.10.2 contains an sql injection vulnerability that allows authenticated organization users to inject SQL by supplying crafted billable metric property_name or categorical filter values. Attackers can embed SQL in values rendered unescaped into Jinja-generated counter, gauge and rate metric queries to access the database shared by all tenants.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| uselotus lotus | ≤ 0.10.2 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.