CVE-2026-31069

WysokieCVSS 8.8

Opublikowano: 19/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

BillaBear (wszystkie wersje przed styczniem 2026) zawiera podatność SQL Injection w EventRepository. Nazwy filtrów metryk i właściwości agregacji są bezpośrednio interpolowane do zapytań SQL przez sprintf() bez odpowiedniego oczyszczania. Uwierzytelniony atakujący z rolą ROLE_ACCOUNT_MANAGER może wykonać dowolne polecenia SQL.

Ocena ryzyka

Atakujący z uprawnieniami menedżera konta może odczytać, zmodyfikować lub usunąć dane w bazie BillaBear, co prowadzi do naruszenia poufności i integralności danych finansowych.

Rekomendacja

Należy zaktualizować BillaBear do wersji wydanej po styczniu 2026, która zawiera poprawkę SQL Injection.

Inne podatności w BillaBear

CVE-2026-116257Wysokie
W BillaBear do wersji 2025.01.03 funkcja processInstall w pliku src/BillaBear/Controller/InstallController.php (komponent Installation Handler) nie wymaga uwierzytelnienia. Zdalny atakujący może wykorzystać tę lukę, a publiczny exploit jest już dostępny. Producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

BillaBear (all versions prior to Jan 2026) contains a SQL Injection vulnerability in the EventRepository. User-controlled input from metric filter names and aggregation properties is directly interpolated into SQL queries using sprintf() without proper sanitization or identifier quoting. Although filter values are parameterized, the filter identifiers (keys) are not. An authenticated attacker with ROLE_ACCOUNT_MANAGER permissions can exploit this to execute arbitrary SQL commands.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS