Descripción
Chartbrew es una aplicación web de código abierto que puede conectarse directamente a bases de datos y API y usar los datos para crear gráficos. En versiones anteriores a la 5.2.1, la sustitución de variables de dashboard SQL utilizaba de forma insegura cadenas de reemplazo de JavaScript controladas por el atacante en los conectores SQL y, por separado, no escapaba las barras invertidas en contextos entre comillas de MySQL y MariaDB. La superficie vulnerable son las solicitudes de dashboards o gráficos públicos e incrustados que llaman a applyMysqlOrPostgresVariables. Un usuario no autenticado envía valores de filtro de URL especialmente manipulados a un gráfico público o incrustado respaldado por una consulta SQL almacenada. Las secuencias de signo dólar en las cadenas de reemplazo pueden alterar el SQL independientemente del motor de base de datos, mientras que el manejo de barras invertidas en MySQL y MariaDB ofrece una segunda vía de escape de cadenas entre comillas. El objetivo debe exponer un gráfico público o incrustado que use variables controladas por la URL en una consulta SQL; solo la vía de las barras invertidas es específica de MySQL y MariaDB. El SQL inyectado puede leer, modificar o eliminar los datos disponibles para la cuenta de base de datos configurada. El problema está corregido en la versión 5.2.1.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- chartbrew Afectadas: < 5.2.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/chartbrew/chartbrew/security/advisories/GHSA-4wj7-9gq7-mrr2
- Referencia en github.comgithub.com/chartbrew/chartbrew/commit/f93d31ac586091f72a7eb97d89fa3b4…
- Referencia en github.comgithub.com/chartbrew/chartbrew/releases/tag/v5.2.1
Ver el texto original en inglés (CVE.org)
Chartbrew SQL injection in dashboard filter substitution
Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. Prior to 5.2.1, SQL dashboard-variable substitution used attacker-controlled JavaScript replacement strings unsafely across SQL connectors and separately failed to escape backslashes for MySQL and MariaDB quoted contexts. The vulnerable surface is public and embedded dashboard/chart requests that call applyMysqlOrPostgresVariables. An unauthenticated user sends crafted URL filter values to a public or embedded chart backed by a stored SQL query. Replacement-string dollar sequences can alter SQL independently of the database engine, while MySQL and MariaDB backslash handling provides a second quoted-string escape path. The target must expose a public or embedded chart using URL-controlled variables in a SQL query; only the backslash branch is specific to MySQL and MariaDB. Injected SQL can read, modify, or delete data available to the configured database account. This issue is fixed in version 5.2.1.