SQL Injection in SigNoz (CVE-2026-57955)
Summary
SQL injection in SigNoz (CVE-2026-57955). Confidential information can be exposed externally.
Original description
The description as published by the source.
SigNoz through 0.130.1 contains a SQL injection vulnerability that allows authenticated attackers to execute arbitrary ClickHouse queries by injecting URL-encoded quotes into the rule ID path parameter of the alert-history endpoints. Attackers can manipulate the unsanitized rule ID interpolated into ClickHouse queries to read all stored traces, logs, and metrics, or abuse the url() function to perform server-side request forgery.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
SigNoz バージョン0.130.1までにSQLインジェクションの脆弱性が存在し、認証された攻撃者がalert-historyエンドポイントのrule IDパスパラメータにURLエンコードされたクォートを注入することで、任意のClickHouseクエリを実行できる。これにより、保存されたトレース、ログ、メトリクスを読み取ったり、url()関数を悪用してサーバーサイドリクエストフォージェリを行うことが可能である。
SQLインジェクションの脆弱性
SigNoz バージョン0.130.1までのalert-historyエンドポイント
攻撃者が任意のClickHouseクエリを実行可能
最新バージョンへのアップデートと入力のエスケープ処理を導入
URLエンコードされた入力を無効化するフィルタを設定
rule IDパラメータに不正なクォートが含まれていないかログを監視
References
- web nvd.nist.gov
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com