SQL-инъекция в Lotus до 0.10.2 через имена свойств метрик — CVE-2026-115331
В Lotus (uselotus) до версии 0.10.2 включительно обнаружена SQL-инъекция с оценкой CVSS 8.7 (HIGH). Аутентифицированный пользователь организации может внедрить произвольный SQL через специально сформированные значения property_name биллинговой метрики или категориальных фильтров, получив доступ к базе данных, общей для всех тенантов. Уязвимость требует немедленного внимания администраторов инсталляций Lotus.
Подробности
Уязвимость затрагивает Lotus through 0.10.2 (то есть все версии вплоть до 0.10.2 включительно). Её причина — недостаточная очистка пользовательских значений при формировании запросов к метрикам типов counter, gauge и rate. Атакующий, прошедший аутентификацию и имеющий учётную запись в организации, может передать специально сформированные значения в поле property_name биллинговой метрики либо в значения категориальных фильтров. Эти данные попадают в запросы, генерируемые через шаблонизатор Jinja, без должного экранирования, что позволяет внедрить произвольные SQL-конструкции. Ключевая опасность заключается в архитектуре развёртывания: внедрённый SQL выполняется в базе данных, которая является общей для всех тенантов. Таким образом, эксплуатация уязвимости позволяет выйти за пределы собственной организации и потенциально получить доступ к данным других клиентов инсталляции. Вектор атаки — сетевой, требуется аутентификация с низкими привилегиями, при этом воздействие на конфиденциальность, целостность и доступность данных оценивается как высокое.Что делать
Рекомендации для администраторов и владельцев инсталляций Lotus: - Проверить текущую версию продукта и, если она не выше 0.10.2, обновиться до версии, в которой устранена уязвимость (следите за релизами проекта uselotus). - Если обновление невозможно в кратчайшие сроки, ограничить круг пользователей, имеющих право создавать и редактировать биллинговые метрики и категориальные фильтры, до минимально необходимого. - Провести аудит существующих метрик и фильтров на предмет подозрительных значений property_name и категориальных фильтров, содержащих SQL-конструкции. - Проанализировать журналы доступа к базе данных на предмет аномальных запросов, особенно обращений к таблицам, не относящимся к текущему тенанту. - Учитывая общую для всех тенантов базу данных, рассматривать потенциальную компрометацию как затрагивающую всех клиентов инсталляции и при необходимости инициировать проверку на предмет утечки данных.Итог
CVE-2026-115331 — серьёзная уязвимость SQL-инъекции в Lotus до 0.10.2 с оценкой 8.7 по CVSS. Из-за общей базы данных для всех тенантов успешная эксплуатация аутентифицированным пользователем одной организации может привести к доступу к данным других клиентов. Первоочередная мера — обновление до исправленной версии; до его установки следует ужесточить права на редактирование метрик и провести проверку существующих конфигураций и журналов.Источник: CVE Project (cvelistV5)