Grocy · Grocy · CVE-2026-50890
**Nome do Software Vulnerável e Versões Afetadas**
grocy versão 4.6.0
**Description**
Ocorre uma injeção de SQL no endpoint '/stockreports/spendings' através do parâmetro `product-group`. Isso permite que atacantes acessem informações confidenciais do banco de dados por meio de uma instrução SQL manipulada. A injeção de SQL é um tipo de falha onde um atacante pode interferir nas consultas que uma aplicação faz ao seu banco de dados.
**Recommendations**
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Como medida paliativa temporária, restrinja o acesso ao endpoint '/stockreports/spendings' ou evite o uso do parâmetro `product-group`.