Vulnerabilidad en dhis2-core de dhis2 (CVE-2026-55082)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
21/07/2026
Última modificación:
24/10/2026
Descripción
DHIS2 es un sistema de información flexible para la captura, gestión, validación, análisis y visualización de datos. Los puntos finales de datos de la Vista SQL de DHIS2 permitían a usuarios autenticados con acceso a la Vista SQL proporcionar valores de filtro manipulados que se interpolaban en el SQL generado. Un usuario autenticado con acceso a la ejecución de la Vista SQL podía manipular el SQL generado para los filtros de la Vista SQL y potencialmente acceder a datos fuera del conjunto de resultados previsto de la Vista SQL.<br />
<br />
Esto es distinto de CVE-2026-55084, que rastrea la inyección de nombres de columna en filtros de Vista SQL relacionada.<br />
<br />
Líneas de lanzamiento afectadas conocidas para este aviso: DHIS2 2.37, 2.38 y 2.39 antes de las actualizaciones de seguridad EOS del 2026-06-09.<br />
Parcheado por las actualizaciones de seguridad EOS del 2026-06-09 para 2.37, 2.38 y 2.39. El mismo endurecimiento de ranura de valor ya estaba presente en ramas posteriores compatibles a través de DHIS2-20174 / PR #22253.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA