CVE-2026-85726

Chartbrew to aplikacja internetowa typu open source, która może łączyć się bezpośrednio z bazami danych i interfejsami API oraz wykorzystywać dane do tworzenia wykresów. Przed wersją 5.2.3 zmienna MongoDB z typem daty, umieszczona wewnątrz symbolu zastępczego zapytania w cudzysłowie, była wstawiana jako ciąg znaków bez zmiany znaczenia, w przeciwieństwie do bezpiecznie zmienianych lub wymuszonych ciągów znaków, liczb i gałęzi logicznych. Podatną powierzchnią są publiczne, udostępniane lub osadzone wykresy oparte na mongoDB, przetwarzane przez podstawienie zmiennej daty. Nieuwierzytelniony użytkownik dostarcza spreparowany filtr adresu URL do publicznego, udostępnianego lub osadzonego wykresu MongoDB, którego zapytanie umieszcza zmienną z datą w cytowanym literale. Stworzona wartość daty odrywa się od cytowanego literału i zmienia logikę zapytania; liczba wierszy zwrócona na wykresie staje się wyrocznią logiczną do wyodrębniania pól znak po znaku. Wykres musi być dostępny z zewnątrz i korzystać z podatnej na ataki gałęzi typu date-in-quoted-placeholder. Wyodrębnianie jest tylko do odczytu i jest ograniczone do jednej kolekcji, której dotyczy zapytanie na żądanie, i nie wymaga ani konta, ani znanej wartości pola. Ślepa wyrocznia może ujawnić dowolne pole w badanej kolekcji, w tym tajemnice, których wykres nie wyświetla. Ten problem został rozwiązany w wersji 5.2.3.