ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Chartbrew هو تطبيق ويب مفتوح المصدر يمكنه الاتصال مباشرة بقواعد البيانات واختيار البيانات لإنشاء مخططات. قبل الإصدار 5.2.1، استخدِم استبدال متغيّر لوحة معلومات SQL سلاسل استبدال JavaScript التي يسيطر عليها المهاجم غير آمنة عبر موصلات SQL وفشل بشكل منفصل في الهروب من الشرطات المائلة العكسية لبيئات MySQL و MariaDB المقتبسة. السطح المعرض للثغرة هو طلبات لوحة المعلومات والمخططات العامة والمضمنة التي تستدعي applyMysqlOrPostgresVariables. يرسل مستخدم دون مصادقة قيم تصفية URL مصممة خصيصاً إلى مخطط عام أو مضمن مدعوم باستعلام SQL مخزن. يمكن لسلاسل دولارات سلسلة الاستبدال تغيير SQL بشكل مستقل عن محرك قاعدة البيانات، بينما يوفر التعامل مع الشرطة المائلة العكسية في MySQL و MariaDB مسار هروب ثانياً للسلسلة المقتبسة. يجب أن يعرض الهدف مخططاً عاماً أو مضمناً باستخدام متغيرات يتحكم فيها URL في استعلام SQL؛ فرع الشرطة المائلة العكسية فقط هو الخاص بـ MySQL و MariaDB. يمكن لـ SQL المحقون قراءة أو تعديل أو حذف البيانات المتاحة لحساب قاعدة البيانات設定. تم إصلاح هذه المشكلة في الإصدار 5.2.1.