PT-2026-36110 · Ckan · Ckan

Publicado 2026-04-29 · Atualizado 2026-05-13 · CVE-2026-42031

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas CKAN versões anteriores a 2.10.10 CKAN versões anteriores a 2.11.5

Descrição Uma falha de injeção de SQL existe na função datastore search sql. Isso permite que atacantes injetem comandos SQL para obter acesso não autorizado a recursos privados e informações do sistema PostgreSQL.

Recomendações Atualize para a versão 2.10.10. Atualize para a versão 2.11.5. Como alternativa temporária, desative a pesquisa SQL do DataStore definindo ckan.datastore.sqlsearch.enabled = false. Restrinja o uso da função datastore search sql utilizando um plugin IAuthFunctions.

Correção

Incorrect Authorization

SQL injection

Enumeração de Fraquezas

CWE-863

CWE-89

Identificadores relacionados

CVE-2026-42031

GHSA-H7J7-3RX6-XVCG

Produtos afetados

Ckan

Referências · 12

• https://github.com/ckan/ckan · Nota
• https://github.com/ckan/ckan/security/advisories/GHSA-h7j7-3rx6-xvcg · Aviso do Fabricante
• https://docs.ckan.org/en/2.11/changelog.html#v-2-11-5-2026-04-29 · Nota
• https://twitter.com/CVEnew/status/2054709264149795110 · Publicação no Twitter
• https://twitter.com/pdnuclei_bot/status/2051693438043836422 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-h7j7-3rx6-xvcg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42031 · Nota de Segurança
• https://docs.ckan.org/en/2.10/changelog.html#v-2-10-10-2026-04-29 · Nota
• https://twitter.com/VulmonFeeds/status/2054696481941070181 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1szui9p/resumen_diario_de_vulnerabilidades_30042026 · Publicação no Reddit
• https://docs.ckan.org/en/2.11/maintaining/configuration.html#ckan-datastore-sqlsearch-enabled · Nota
• https://docs.ckan.org/en/2.11/extensions/plugin-interfaces.html#ckan.plugins.interfaces.IAuthFunctions · Nota