جزئیات آسیب‌پذیری
CVE-2025-1520
PostHog PostHog
PostHog ClickHouse Table Functions SQL Injection Remote Code Execution Vulnerability
CVSS 3.0
7.1بالا
شرح رسمی (انگلیسی)
PostHog ClickHouse Table Functions SQL Injection Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of PostHog. Authentication is required to exploit this vulnerability. The specific flaw exists within the implementation of the SQL parser. The issue results from the lack of proper validation of a user-supplied string before using it to construct SQL queries. An attacker can leverage this vulnerability to execute code in the context of the database account. Was ZDI-CAN-25350.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.1بالا | 3.0 | CVEProject cvelistV5 (CNA) (zdi) | CVSS:3.0/AV:A/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| PostHog | PostHog | b8817c14065c23159dcf52849f0bdcd12516c43e, clickhouse 23.12.6.19-alpine | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲- https://www.zerodayinitiative.com/advisories/ZDI-25-099/ x_research-advisory
- https://github.com/PostHog/posthog/commit/6e8f035f9acd339c5ba87ba6ea40fc1ab3053d42 vendor-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۲/۰۳
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۲/۰۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- zdi
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۶٪
احتمال بهره‌برداری در ۳۰ روز
۴۰٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-89Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')