Plateforme
nodejs
Composant
windmill-labs/windmill
Corrigé dans
1.603.3
1.603.3
1.603.3
Une vulnérabilité d'injection SQL (SQLi) a été découverte dans Windmill CE et EE, versions 1.276.0 à 1.603.2. Cette faille permet à un attaquant authentifié d'injecter des requêtes SQL malveillantes via le paramètre 'owner' dans la gestion des propriétés des dossiers. L'exploitation réussie de cette vulnérabilité peut entraîner une exécution de code à distance (RCE). La version corrigée est 1.603.3.
L'impact de cette vulnérabilité est critique. Un attaquant capable d'exploiter cette injection SQL peut accéder à des informations sensibles stockées dans la base de données, notamment le secret de signature JWT (JSON Web Token) utilisé pour l'authentification et les identifiants des utilisateurs administrateurs. En compromettant le secret JWT, l'attaquant peut forger un token administratif et, par conséquent, exécuter du code arbitraire via les points de terminaison d'exécution des workflows. Cela permet un contrôle total sur le système Windmill, avec un potentiel de compromission des données et de prise de contrôle du serveur. Cette vulnérabilité présente des similitudes avec d'autres injections SQL qui ont permis l'accès à des informations sensibles et l'exécution de code à distance.
Cette vulnérabilité a été publiée le 7 avril 2026. La probabilité d'exploitation est considérée comme élevée (EPSS score à déterminer), compte tenu de la criticité de la vulnérabilité et de la disponibilité potentielle d'un proof-of-concept (POC) public. Il n'y a pas d'informations disponibles concernant une exploitation active à ce jour, mais la nature critique de la vulnérabilité justifie une attention particulière. Consultez le site du NVD (National Vulnerability Database) et CISA (Cybersecurity and Infrastructure Security Agency) pour les mises à jour.
Organizations using Windmill CE or EE versions 1.276.0 through 1.603.2, particularly those relying on Windmill for critical automation workflows or data processing, are at significant risk. Environments with weak authentication practices or shared hosting configurations where multiple users have access to the Windmill instance are especially vulnerable.
• nodejs / server:
grep -r 'SELECT * FROM users' /opt/windmill/app/routes/• nodejs / server:
journalctl -u windmill -f | grep -i "SQL injection"• generic web:
curl -I http://<windmill_host>/api/v1/folders/ -d 'owner=';disclosure
Statut de l'Exploit
EPSS
0.07% (percentile 20%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour Windmill vers la version 1.603.3 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, une solution de contournement temporaire pourrait consister à désactiver temporairement la fonctionnalité de gestion des propriétés des dossiers ou à restreindre l'accès à cette fonctionnalité aux seuls administrateurs de confiance. Il est également recommandé d'implémenter des règles de pare-feu d'application web (WAF) pour détecter et bloquer les tentatives d'injection SQL. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte. Après la mise à jour, vérifiez l'intégrité de la base de données et assurez-vous que le secret JWT n'a pas été compromis.
Mettez à jour Windmill à la version 1.603.3 ou supérieure pour atténuer la vulnérabilité d'injection SQL. Cette mise à jour corrige le traitement incorrect de la propriété des fichiers, empêchant l'exécution de code arbitraire via l'injection SQL dans la fonctionnalité de gestion de la propriété des dossiers.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-23696 is a critical Remote Code Execution vulnerability in Windmill versions 1.0.0–1.603.3, allowing authenticated attackers to inject SQL and potentially execute arbitrary code.
If you are running Windmill CE or EE versions 1.276.0 through 1.603.3, you are vulnerable to this RCE vulnerability.
Upgrade Windmill to version 1.603.3 or later to remediate the vulnerability. Implement temporary workarounds like input validation and access restrictions if immediate upgrade is not possible.
While no public exploits are currently known, the vulnerability's severity and ease of exploitation suggest a high probability of future exploitation.
Refer to the official Windmill security advisory for detailed information and updates: [https://windmill.systems/security](https://windmill.systems/security)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.