CVE-2026-56281
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Capgo przed wersją 12.128.2 zawiera podatność na wstrzykiwanie SQL w punkcie końcowym POST /private/admin_stats. Parametr limit jest pobierany z niezweryfikowanego ciała żądania i bezpośrednio interpolowany do zapytań SQL silnika Cloudflare Analytics Engine za pomocą literałów szablonów.
Ocena ryzyka
Atakujący z poświadczeniami administratora platformy może wstrzyknąć fragmenty SQL, aby wyliczyć schematy zbiorów danych, wyodrębnić dane analityczne lub spowodować odmowę usługi (DoS) wobec backendu analitycznego.
Rekomendacja
Należy natychmiast zaktualizować Capgo do wersji 12.128.2 lub nowszej. Dodatkowo, należy wdrożyć walidację i sanityzację parametru limit po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 contains a sql injection vulnerability in the POST /private/admin_stats endpoint where the limit parameter is destructured from unvalidated request body and interpolated directly into Cloudflare Analytics Engine SQL queries via template literals. An attacker with platform admin credentials can inject SQL fragments to enumerate dataset schemas, extract analytics data, or cause denial-of-service against the analytics backend.