Un attaccante autenticato con accesso in lettura (tramite una chiave API) a un Content Model può iniettare comandi SQL arbitrari nella pipeline di aggregazione tramite l'endpoint REST /api/content/aggregate/{model}.

Questa falla consente agli attaccanti di:

• Bypassare il filtro previsto per i contenuti pubblicati (_state=1) per leggere bozze non pubblicate.
• Estrarre il contenuto completo dei documenti da qualsiasi collezione nello stesso database SQLite.
• Enumerare lo schema interno del database tramite sqlite_master.

2. Riproduzione dell'exploit passo dopo passo

I seguenti passaggi dimostrano come un attaccante possa bypassare il filtro di autorizzazione _state=1.

Prerequisiti

• Cockpit CMS 2.13.4 o versioni precedenti
• Una chiave API con almeno accesso in lettura a un modello di collezione di contenuti.

2.1: Configurare il modello di contenuto

1. Accedi alla dashboard di amministrazione di Cockpit CMS come amministratore.
2. Vai su Contenuti > Modelli e crea un nuovo modello denominato testcol.
3. Aggiungi due campi di testo al modello: title e body.

Screenshot: Configurazione del modello di contenuto testcol

2.2: Configurare il ruolo API e la chiave

1. Vai su Impostazioni > Ruoli.
2. Crea o modifica un ruolo (ad es., MasterRole) in modo che abbia il permesso LETTURA per il modello testcol.

Screenshot: Configurazione dei permessi del ruolo per la collezione

3. Vai su Impostazioni > API & Sicurezza (Chiavi API).
4. Aggiungi una nuova chiave API e assegnale il ruolo MasterRole appena configurato. Copia il valore della chiave (ad es., API-b8e8...).

Screenshot: Configurazione della chiave API con il ruolo di accesso in lettura

2.3: Creare contenuti di esempio (inclusa una bozza segreta)

1. Vai su Contenuti > testcol.
2. Crea un elemento intitolato Public e imposta il suo stato su PUBBLICATO (icona verde).
3. Crea un secondo elemento intitolato SECRET_DRAFT e imposta il suo stato su NON PUBBLICATO (icona rossa).

Screenshot: Elenco degli elementi che mostra un elemento pubblicato e uno non pubblicato

2.4: Eseguire l'exploit

Per impostazione predefinita, le query API standard restituiscono solo contenuti con stato Pubblicato. Tuttavia, iniettando SQL nella pipeline di aggregazione, il filtro per i contenuti pubblicati può essere bypassato.

1. Costruisci il seguente payload. Il payload esce dalla funzione SQL json_extract() e aggiunge un commento SQL -- per neutralizzare l'SQL finale, prendendo di mira specificamente la clausola WHERE che limita i risultati agli elementi pubblicati.

Campo iniettato:

Pipeline JSON completo:

2. Codifica in URL il JSON della pipeline e invia una richiesta GET tramite browser (o curl) all'endpoint /api/content/aggregate/testcol. Assicurati di sostituire YOUR_API_KEY con la chiave generata nel Passaggio 2.2:

2.5: Verifica dell'exploit

Come mostrato nello screenshot finale qui sotto, la risposta API restituisce con successo l'elemento SECRET_DRAFT nonostante sia esplicitamente marcato come NON PUBBLICATO. Ciò conferma che l'iniezione SQL bypassa il meccanismo di autorizzazione principale dell'applicazione e consente l'estrazione non autorizzata di dati tramite l'API.

Screenshot: Estrazione riuscita dei dati non pubblicati 'SECRET_DRAFT'

3. Impatto -- conseguenze

In una tipica implementazione headless CMS, una chiave API pubblica di sola lettura è spesso incorporata/codificata nel JavaScript del frontend. Sfruttando questa vulnerabilità tramite l'endpoint API pubblico, un attaccante può:

• Bypassare il filtro per i contenuti pubblicati per leggere bozze non pubblicate, elementi archiviati e contenuti nascosti.
• Leggere tutte le collezioni di contenuti nello stesso database content.sqlite, incluse le collezioni per cui la chiave API non è autorizzata.
• Enumerare lo schema del database tramite sqlite_master per scoprire tutti i nomi e le strutture delle tabelle.

4. Cronologia della divulgazione

Appendice:

• https://github.com/Cockpit-HQ/Cockpit/security/advisories/GHSA-7x5c-vfhj-9628
• https://www.cve.org/CVERecord?id=CVE-2026-31891