Un atacante autenticado con acceso de lectura (mediante una clave API) a un Modelo de Contenido puede inyectar comandos SQL arbitrarios en el pipeline de agregación a través del endpoint REST /api/content/aggregate/{model}.

Esta falla permite a los atacantes:

• Evadir el filtro de contenido publicado previsto (_state=1) para leer borradores no publicados.
• Extraer el contenido completo de documentos de cualquier colección en la misma base de datos SQLite.
• Enumerar el esquema interno de la base de datos mediante sqlite_master.

2. Reproducción del exploit paso a paso

Los siguientes pasos demuestran cómo un atacante puede evadir el filtro de autorización _state=1.

Requisitos previos

• Cockpit CMS 2.13.4 o inferior
• Una clave API con al menos acceso de lectura a un modelo de colección de contenido.

2.1: Configurar el modelo de contenido

1. Inicie sesión en el panel de administración de Cockpit CMS como administrador.
2. Navegue a Contenido > Modelos y cree un nuevo modelo llamado testcol.
3. Agregue dos campos de Texto al modelo: title y body.

Captura de pantalla: Configuración del modelo de contenido testcol

2.2: Configurar el rol y la clave API

1. Navegue a Configuración > Roles.
2. Cree o modifique un rol (por ejemplo, MasterRole) para que tenga permiso de LECTURA para el modelo testcol.

Captura de pantalla: Configuración de permisos de rol para la colección

3. Navegue a Configuración > API y Seguridad (Claves API).
4. Agregue una nueva clave API y asígnele el MasterRole que acaba de configurar. Copie el valor de la clave (por ejemplo, API-b8e8...).

Captura de pantalla: Configuración de la clave API con el rol de acceso de lectura

2.3: Crear contenido de muestra (incluido un borrador secreto)

1. Vaya a Contenido > testcol.
2. Cree un elemento titulado Public y establezca su estado en PUBLICADO (icono verde).
3. Cree un segundo elemento titulado SECRET_DRAFT y establezca su estado en NO PUBLICADO (icono rojo).

Captura de pantalla: La lista de elementos que muestra un elemento publicado y otro no publicado

2.4: Ejecutar el exploit

De forma predeterminada, las consultas API estándar solo devolverán contenido cuyo estado sea Publicado. Sin embargo, al inyectar SQL en el pipeline de agregación, se puede evadir el filtro de contenido publicado.

1. Construya el siguiente payload. El payload sale de la función SQL json_extract() y agrega un comentario SQL -- para neutralizar el SQL final, apuntando específicamente a la cláusula WHERE que limita los resultados a elementos publicados.

Campo inyectado:

Pipeline JSON completo:

2. Codifique en URL el pipeline JSON y envíe una solicitud GET mediante el navegador (o curl) al endpoint /api/content/aggregate/testcol. Asegúrese de reemplazar YOUR_API_KEY con la clave generada en el Paso 2.2:

2.5: Verificación del exploit

Como se muestra en la captura de pantalla final a continuación, la respuesta de la API devuelve correctamente el elemento SECRET_DRAFT a pesar de estar marcado explícitamente como NO PUBLICADO. Esto confirma que la inyección SQL evita el mecanismo de autorización central de la aplicación y permite la extracción de datos no autorizada a través de la API.

Captura de pantalla: Extracción exitosa de los datos no publicados 'SECRET_DRAFT'

3. Impacto -- consecuencia

En una implementación clásica de CMS headless, una clave API pública de solo lectura a menudo está incrustada/codificada en el JavaScript del frontend. Al explotar esta vulnerabilidad a través del endpoint API público, un atacante puede:

• Evadir el filtro de contenido publicado para leer borradores no publicados, elementos archivados y contenido oculto.
• Leer todas las colecciones de contenido en la misma base de datos content.sqlite, incluidas las colecciones para las que la clave API no está autorizada.
• Enumerar el esquema de la base de datos mediante sqlite_master para descubrir todos los nombres y estructuras de tablas.

4. Cronología de divulgación

Apéndice:

• https://github.com/Cockpit-HQ/Cockpit/security/advisories/GHSA-7x5c-vfhj-9628
• https://www.cve.org/CVERecord?id=CVE-2026-31891