8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Lotus through 0.10.2 contains an sql injection vulnerability that allows authenticated organization users to inject SQL by supplying crafted billable metric property_name or categorical filter values. Attackers can embed SQL in values rendered unescaped into Jinja-generated counter, gauge and rate metric queries to access the database shared by all tenants.
Засегнати продукти
- uselotus lotus: до 0.10.2
Вид слабост
История
- 22 октомври 2026 Публикувано
Други уязвимости в uselotus lotus
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-115331
- https://nvd.nist.gov/vuln/detail/CVE-2026-115331
- https://hackmd.io/@leediay/BkUc3WL2Mx
- https://github.com/uselotus/lotus/blob/0.10.2/backend/metering_billing/aggregation/counter_query_templates.py#L14
- https://github.com/uselotus/lotus
- https://www.vulncheck.com/advisories/lotus-through-0.10.2-sql-injection-via-metric-property-names-and-filters