CVE-2026-36826: حقن SQL في genesisQL <= 1.1.1

الملخص

genesisQL 1.1.1 معرّض لثغرة حقن SQL في دالة checkPassword. يتم إدراج حقلي username وpassword المقدَّمَين من المستخدم مباشرةً في سلسلة استعلام SQL دون استخدام معاملات، مما يسمح بحقن SQL دون مصادقة وتجاوز المصادقة عبر نموذج تسجيل الدخول.

المنتج المتأثر

• البائع: Open Source Labs
• المنتج: genesisQL
• الإصدار: 1.1.1 (وربما إصدارات أقدم)

تفاصيل الثغرة

CWE-89: تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر SQL

الملف: server/utils/userController.js

function checkPassword (req, res, next){
    const { username, password } = req.body;
    const text = `SELECT * FROM users WHERE username='${username}' AND password='${password}'`;
}

الأثر

تجاوز المصادقة عبر حقن SQL في نموذج تسجيل الدخول (دون مصادقة، عن بُعد).

الجدول الزمني للإفصاح

• [التاريخ]: تم إبلاغ البائع عبر [الطريقة]
• [التاريخ + ~6 أشهر]: لم يتم الحصول على رد من البائع
• 2026-06-05: تم تعيين CVE-2026-36826 من قِبل MITRE
• [التاريخ]: الإفصاح العام

المكتشفون

• Tulkin Urinbaev
• Vladyslav Koniakhin

المرجع

• https://github.com/oslabs-beta/genesisQL/blob/main/server/utils/userController.js

المعالجة

استخدم استعلامات ذات معاملات أو عبارات مُعدّة مسبقًا بدلاً من إقحام السلاسل النصية في الاستعلام.