Veille sécuritéBackend & données
P3Faible
La fiche NVD de CVE-2026-7678 a été substantiellement mise à jour pour préciser que la fonctionnalité d’exécution SQL et la permission existante restent disponibles : l’avis ne signale pas de correctif pour ce comportement. Les déploiements doivent réserver cette permission aux rôles de confiance et appliquer des privilèges de base de données appropriés.
Java
IdentifiantCVE-2026-7678
GravitéFaible
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-7678
Analyse technique
Injection SQL dans la fonction getDataBySQL. La mise à jour précise que la fonctionnalité reste disponible et que le comportement n’est pas présenté comme corrigé.
Impact, versions et correctif
Événement datéRetenu pour la précision substantielle de la fiche NVD, mise à jour le 2026-10-27T10:16:54.610+02:00 ; la publication initiale est antérieure à la période.
ImpactUn utilisateur disposant de la permission concernée peut déclencher une injection SQL ; l’avis précise que cette fonctionnalité n’est pas corrigée.
Versions affectéesYunaiV yudao-cloud jusqu’à la version 2026.01
ContournementLimiter l’accès à la permission report:go-view-data:get-by-sql aux rôles de confiance et appliquer des privilèges de base de données appropriés.
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS2.1
EPSS0,23% · percentile 13,5%
Publication2026-05-03T05:15:59.030Z
Mise à jour2026-10-27T10:16:54.610+02:00
Action recommandée
Contrôler les attributions de la permission d’exécution SQL et les privilèges des comptes de base de données concernés.
Sources
Priorisation DFS : P3 · 1 source(s).