CVE-2026-36826 : Injection SQL dans genesisQL <= 1.1.1

Résumé

genesisQL 1.1.1 est vulnérable à une injection SQL dans la fonction checkPassword. Les champs username et password fournis par l'utilisateur sont interpolés directement dans la chaîne de requête SQL sans paramétrage, permettant une injection SQL non authentifiée et un contournement de l'authentification via le formulaire de connexion.

Produit concerné

• Fournisseur : Open Source Labs
• Produit : genesisQL
• Version : 1.1.1 (et possiblement antérieure)

Détails de la vulnérabilité

CWE-89 : Neutralisation incorrecte des éléments spéciaux utilisés dans une commande SQL

Fichier : server/utils/userController.js

function checkPassword (req, res, next){
    const { username, password } = req.body;
    const text = `SELECT * FROM users WHERE username='${username}' AND password='${password}'`;
}

Impact

Contournement de l'authentification via injection SQL dans le formulaire de connexion (non authentifié, à distance).

Calendrier de divulgation

• [дата] : Signalé au fournisseur via [метод]
• [дата + ~6 mois] : Aucune réponse du fournisseur
• 2026-06-05 : CVE-2026-36826 attribué par MITRE
• [дата] : Divulgation publique

Découvreurs

• Tulkin Urinbaev
• Vladyslav Koniakhin

Référence

• https://github.com/oslabs-beta/genesisQL/blob/main/server/utils/userController.js

Correction

Utilisez des requêtes paramétrées / des instructions préparées au lieu de l'interpolation de chaîne.