CVE-2026-41478: Saltcorn: injeção de SQL em endpoints de sincronização móvel sem parametrização (maxLoadedId)
O Saltcorn, um construtor de aplicações de banco de dados sem código, apresenta uma falha de injeção de SQL em suas rotas de sincronização móvel. Qualquer usuário autenticado com privilégios baixos e acesso de leitura a pelo menos uma tabela pode injetar SQL por meio de parâmetros de sincronização, o que, segundo o aviso, pode expor o banco inteiro, incluindo hashes de senha de administrador e segredos de configuração, e também permitir modificação ou destruição dependendo do backend. O registro indica que a correção está nas versões 1.4.6, 1.5.6 e 1.6.0-beta.5.
Visão geral
O Saltcorn é um construtor de aplicações de banco de dados sem código, extensível e de código aberto. O aviso do GitHub GHSA-jp74-mfrx-3qvh descreve uma injeção de SQL (CWE-89) nas rotas de sincronização móvel, nas quais parâmetros de sincronização são usados em consultas SQL sem parametrização.
Impacto
- O aviso afirma que um usuário autenticado com privilégios baixos e acesso de leitura a pelo menos uma tabela pode injetar SQL arbitrário.
- Segundo o aviso, isso pode levar à exfiltração completa do banco de dados, incluindo hashes de senhas de administrador e segredos de configuração.
- O aviso também indica que pode permitir modificação ou destruição do banco de dados, dependendo do backend.
Produtos e versões afetadas
- Produto: Saltcorn Saltcorn.
- Conforme a descrição, as versões vulneráveis são as anteriores a 1.4.6, da 1.5.0-beta.0 até antes de 1.5.6, e da 1.6.0-alpha.0 até antes de 1.6.0-beta.5.
- O registro lista muitas compilações pré-lançamento individuais da linha 1.6.0; estas parecem estar dentro do intervalo de 1.6.0-alpha.0 até antes de 1.6.0-beta.5.
Status de exploração
A vulnerabilidade não consta como listada no catálogo KEV da CISA no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como prova de conceito (poc) e automatização como não.
Correção e mitigação
- Atualize para uma versão corrigida da linha afetada: 1.4.6, 1.5.6 ou 1.6.0-beta.5, conforme a descrição.
- Enquanto não houver correção, limite quais contas têm acesso de leitura às tabelas e revise contas de privilégio baixo em busca de acessos desnecessários.
- Se houver suspeita de exposição, revise segredos de administrador e de configuração e rotacione-os de acordo com a política interna.
Orientações de detecção
- Revise os logs da aplicação e do banco em busca de requisições de sincronização móvel com valores de parâmetro incomuns ou malformados.
- Procure leituras inesperadas de tabelas sensíveis, ou alterações inesperadas de esquema ou dados, originadas de contas de aplicação.
Limitações das informações disponíveis
- A lista de correções do registro está vazia; as versões corrigidas vêm da descrição e da referência do aviso.
- As pontuações CVSS diferem entre fontes: 10 do GitHub_M e 9,9 do provedor security-advisories, ambas na versão 3.1.
- O registro não fornece detalhes técnicos, código de prova de conceito nem especificidades de backend afetado, portanto o impacto por backend é desconhecido.
Perguntas frequentes
Quais versões do Saltcorn são corrigidas no CVE-2026-41478?
Segundo a descrição do registro, o problema está corrigido nas versões 1.4.6, 1.5.6 e 1.6.0-beta.5. A lista de correções do registro está vazia, então consulte o aviso do fornecedor para detalhes.
Esta CVE exige privilégios altos para ser explorada?
Não. A descrição indica que qualquer usuário autenticado com privilégios baixos e acesso de leitura a pelo menos uma tabela está no escopo, o que é coerente com o vetor CVSS PR:L.
Há registro de exploração ativa desta CVE?
O registro mostra que ela não consta no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.