← Back
CVE-2026-42087
critical
CVSS 9.6
SQL Injection in sqli (CVE-2026-42087)
Summary
SQL injection in sqli (CVE-2026-42087). Confidential information can be exposed externally. Exploitable via ``tsdb_lookup``.
AI summary openai / gpt-4o
OpenC3 COSMOS has a critical SQL injection flaw where unsanitized inputs can lead to unauthorized command execution and data access. This allows attackers to exploit the database, causing potential data theft or deletion. The issue is fixed in version 7.0.0-rc3. It's crucial to update to the latest version to prevent data loss.
A SQL injection vulnerability exists in OpenC3 COSMOS versions 6.7.0 to 7.0.0-rc2 within the TSDB component. This arises in the `tsdb_lookup` function in cvt_model.rb where unsanitized user input is injected into SQL queries. Exploiting the `start_time` parameter in the `get_tlm_values` endpoint allows execution of arbitrary SQL commands. The vulnerability is patched in version 7.0.0-rc3. It is crucial to sanitize all inputs and use parameterized queries as an immediate measure.
❓ What is the problem
SQLインジェクションの脆弱性
📍 Affected scope
OpenC3 COSMOSのTSDBコンポーネント、cvt_model.rb内のtsdb_lookup関数
🔥 Severity
critical
🔧 How to fix
OpenC3 COSMOSをバージョン7.0.0-rc3以降にアップデートする
🛡️ Workaround
ユーザー入力のサニタイズとパラメータ化されたクエリの使用
🔍 Detection
SQLインジェクションが可能なパラメータの異常を監視
Related past incidents Similar incidents extracted from past CVEs
Java SE 7から発生したSQLインジェクション。ユーザー入力のサニタイズ不足が原因で不正なSQL実行が可能。
OpenSSLにおけるHeartbleed脆弱性は、認証されていない攻撃者にメモリ内容を覗き見される可能性があり、情報漏洩が発生しました。
F5 BIG-IPの構成で、特定のエンドポイントを通じての認証バイパスが可能になる脆弱性。
If this happens at your company Expected impact per business scenario
📌 ECサイトのバックエンドシステム
攻撃者がデータベースに不正アクセスし、顧客データの漏洩や改ざんが発生する可能性がある。
📌 金融機関内のシステム
取引データの削除や改ざんが行われ、経済的損失を被るリスクがある。
📌 公共サービスの監視システム
リアルタイムの監視データが操作され、サービス障害を引き起こす可能性がある。
Recommended action
OpenC3 COSMOSの最新バージョンへ更新し、ユーザー入力の無害化を徹底すること
Response Actions (7 steps)
Concrete steps and command examples for SOC/SRE teams to execute in order
-
1Identify exposure identify
grep -r 'sqli' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で `sqli` を grep し、稼働しているサービス・バージョンを把握する。
-
7Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。
References
- exploit 134c704f-9b21-4f2e-91b3-4a467353bcc0
- patch [email protected]
- web [email protected]