DHIS2 - CVE-2026-55084
Date de publication :
Il s'agit d'une vulnérabilité d'injection SQL (CWE-89 - Improper Neutralization of Special Elements used in an SQL Command) au sein de l'application DHIS2.
DHIS2 est une plateforme open source largement utilisée dans le domaine de la santé publique pour la collecte, la gestion, la validation, l'analyse et la visualisation de données.
La vulnérabilité est due à la construction dynamique de requêtes SQL à partir du paramètre filter contrôlé par l'utilisateur, sans assainissement ni paramétrage adéquat, au sein des points de terminaison SqlView.
Elle permet à un attaquant authentifié d'injecter et d'exécuter des requêtes SQL arbitraires sur la base de données sous-jacente.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Exécution de code arbitraire (à distance)
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-89 : Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Branches 2.37, 2.38 et 2.39 (toutes versions)
• 2.40.x antérieures à 2.40.11.1 / 2.40.12
• 2.41.x antérieures à 2.41.8.2
• 2.42.x antérieures à 2.42.5.1
• 2.43.0 antérieure à 2.43.0.1
• Branche de développement 2.44 avant la PR #24162.
Solutions ou recommandations
• 2.40.11.1 et 2.40.12
• 2.41.8.2
• 2.42.5.1
• 2.43.0.1
• Branche de développement 2.44 après intégration de la PR #24162.