p PatchFirst

CVE-2025-1520

CVE-2025-1520 · PostHog ClickHouse Table Functions SQL Injection Remote Code Execution Vulnerability

CVSS 7.1 · Высокий · EPSS 0,5%

Затронуты ли вы?

  • posthogНет опубликованного исправления
  • @posthog/plugin-server npmНет опубликованного исправления

Как узнать установленную версию:

npm ls @posthog/plugin-server

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания posthog и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

PostHog ClickHouse Table Functions SQL Injection Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of PostHog. Authentication is required to exploit this vulnerability. The specific flaw exists within the implementation of the SQL parser. The issue results from the lack of proper validation of a user-supplied string before using it to construct SQL queries. An attacker can leverage this vulnerability to execute code in the context of the database account. Was ZDI-CAN-25350.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • posthog

    Версии
    • b8817c14065c23159dcf52849f0bdcd12516c43e, clickhouse 23.12.6.19-alpine: Затронуто

    Нет опубликованного исправления

  • @posthog/plugin-server npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 1.10.7

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →