CVE-2026-36826: SQL-инъекция в genesisQL <= 1.1.1

Сводка

genesisQL 1.1.1 уязвим к SQL-инъекции в функции checkPassword. Поля username и password, предоставленные пользователем, подставляются напрямую в строку SQL-запроса без параметризации, что позволяет неаутентифицированную SQL-инъекцию и обход аутентификации через форму входа.

Затронутый продукт

• Вендор: Open Source Labs
• Продукт: genesisQL
• Версия: 1.1.1 (и, возможно, более ранние)

Детали уязвимости

CWE-89: Некорректная нейтрализация специальных элементов, используемых в SQL-команде

Файл: server/utils/userController.js

function checkPassword (req, res, next){
    const { username, password } = req.body;
    const text = `SELECT * FROM users WHERE username='${username}' AND password='${password}'`;
}

Воздействие

Обход аутентификации через SQL-инъекцию в форме входа (без аутентификации, удалённо).

Хронология раскрытия

• [дата]: Сообщено вендору через [метод]
• [дата + ~6 месяцев]: Ответа от вендора не получено
• 2026-06-05: CVE-2026-36826 присвоен MITRE
• [дата]: Публичное раскрытие

Исследователи

• Tulkin Urinbaev
• Vladyslav Koniakhin

Ссылка

• https://github.com/oslabs-beta/genesisQL/blob/main/server/utils/userController.js

Устранение

Используйте параметризованные запросы / подготовленные выражения вместо интерполяции строк.