🔍 CVE-2026-21856

7.2
CVSS Score
HIGH
2026-01-07
2026-01-08 18:08
✅ 완료

🇰🇷 한글 설명

Tarkov Data Manager의 웹훅 편집 및 스캐너 API 엔드포인트에서 시간 기반 블라인드 SQL 인젝션 취약점이 발견됨. 이는 인증된 공격자가 MySQL 데이터베이스에 임의의 SQL 쿼리를 실행할 수 있도록 함.

💡 쉬운 설명

Tarkov Data Manager의 일부 기능에서 공격자가 임의의 SQL 쿼리를 실행할 수 있는 취약점이 발견되었습니다. 이는 데이터베이스의 정보를 노출시키거나 조작할 수 있습니다. 패치된 버전으로 업데이트하여 취약점을 해결할 수 있습니다.

🇺🇸 원문 (English)

The Tarkov Data Manager is a tool to manage the Tarkov item data. Prior to commit 9bdb3a75a98a7047b6d70144eb1da1655d6992a8, a time based blind SQL injection vulnerability in the webhook edit and scanner api endpoints that allow an authenticated attacker to execute arbitrary SQL queries against the MySQL database. Commit 9bdb3a75a98a7047b6d70144eb1da1655d6992a8 contains a patch.

📍 영향받는 시스템

Tarkov Data Manager (커밋 9bdb3a75a98a7047b6d70144eb1da1655d6992a8 이전 버전)

⚔️ 공격 벡터

인증된 공격자가 웹훅 편집 및 스캐너 API 엔드포인트를 통해 시간 기반 블라인드 SQL 인젝션 공격을 수행

🛡️ 대응 방법

커밋 9bdb3a75a98a7047b6d70144eb1da1655d6992a8 이후 버전으로 업데이트하여 패치를 적용

🔧 검증 코드

로컬 시스템의 Tarkov Data Manager 저장소 경로를 '/path/to/tarkov-data-manager'으로 지정하고, Python 3.x 환경에서 실행. Git이 설치되어 있어야 하며, 저장소의 최신 커밋 해시를 확인하여 취약점 여부를 판단.

Shell / Script 
import subprocess
result = subprocess.run(['git', 'log', '-1', '--format=%H'], cwd='/path/to/tarkov-data-manager', capture_output=True, text=True)
if result.stdout.strip() >= '9bdb3a75a98a7047b6d70144eb1da1655d6992a8':
    print({"result": "양호", "reason": "최신 버전"})
else:
    print({"result": "취약", "reason": "업데이트 필요"})

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

MySQL