🟠 《高危安全漏洞：CVE-2026-55084》

CVSS 评分: 高危（8.8）　　状态: Deferred　　发布时间: 2026-07-21

漏洞简介

CVE-2026-55084 是一个存在于 DHIS2 应用程序中的 SQL 注入（SQL injection）漏洞，对应 CWE-89 分类（SQL命令中使用的特殊元素转义处理不恰当）。DHIS2 是一个用于数据采集、管理、验证、分析和可视化的灵活信息系统。

该漏洞位于 SqlView API 端点中，具体涉及 /api/sqlViews/{viewId}/data.json 接口所使用的 filter 参数。攻击者可以通过滥用 PostgreSQL 执行的表达式，在 filter 参数中注入任意的 SQL 查询语句，并且注入结果会反映在应用程序的错误信息中。这种基于错误的 SQL 注入（error-based SQL injection）行为使得攻击者能够提取数据库中的任意内容。

影响范围

受影响的 DHIS2 版本包括：

  • 2.37
  • 2.38
  • 2.39
  • 2.40.x 版本，早于 2.40.11.1/2.40.12
  • 2.41.x 版本，早于 2.41.8.2
  • 2.42.x 版本，早于 2.42.5.1
  • 2.43.0 版本，早于 2.43.0.1
  • 2.44 开发分支，在 PR #24162 之前

已修复的版本包括：

  • 2.37-EOS（2026-06-09）
  • 2.38-EOS（2026-06-09）
  • 2.39-EOS（2026-06-09）
  • 2.40.11.1
  • 2.40.12
  • 2.41.8.2
  • 2.42.5.1
  • 2.43.0.1
  • 2.44 开发分支，在 PR #24162 之后

风险分析

根据 CVSS 3.1 评分向量（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H），该漏洞具有以下风险特征：

  • 攻击向量（Attack Vector）：网络远程攻击，无需物理接触
  • 攻击复杂度（Attack Complexity）：低，攻击者无需特殊条件即可利用
  • 权限要求（Privileges Required）：低，攻击者需要拥有对 SqlView 的访问权限（经过身份验证的用户）
  • 用户交互（User Interaction）：无，攻击过程无需受害者操作
  • 影响范围（Scope）：未改变，漏洞仅影响被攻击的组件
  • 机密性影响（Confidentiality Impact）：高，可能导致数据库中的敏感数据完全泄露
  • 完整性影响（Integrity Impact）：高，攻击者可能修改或删除数据库内容
  • 可用性影响（Availability Impact）：高，可能导致数据库服务中断或数据损坏

攻击后果：攻击者可以利用该漏洞执行任意 SQL 查询，从而窃取、篡改或删除数据库中的敏感信息，包括用户凭证、业务数据等。由于漏洞利用方式为基于错误的 SQL 注入，攻击者可以通过应用程序返回的错误信息逐步提取数据库内容，实现数据泄露。在严重情况下，攻击者可能进一步利用数据库权限执行系统命令，导致服务器被完全控制。

🔍 技术细节

字段 值
CVE ID CVE-2026-55084
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-89
发布时间 2026-07-21
最后更新 2026-07-21
状态 Deferred
数据来源 security-advisories@github.com

🔗 参考链接