CVE-2025-66944

SQL Injection umożliwiający RCE w Databasir v1.0.7 i wcześniejszych

CVSS 9.8v3.1pub. 2026-03-04upd. 2026-03-09

Krytyczna podatność typu SQL Injection w aplikacji Databasir (vran-dev) w wersji 1.0.7 i wcześniejszych pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Wysoki wynik CVSS 9.8 wskazuje na brak wymagań dotyczących uwierzytelnienia i możliwość pełnego przejęcia systemu.

▸ Pokaż oryginał (EN)

SQL Injection vulnerability in vran-dev databaseir v.1.0.7 and before allows a remote attacker to execute arbitrary code via the query parameter in the search API endpoint

🤖 Analiza AI

Jak działa

Podatność występuje w parametrze query w endpoincie search API aplikacji Databasir. Atakujący może przesłać specjalnie spreparowane zapytanie HTTP zawierające złośliwy payload SQL, który nie jest odpowiednio filtrowany ani parametryzowany przez aplikację. Skutkuje to wykonaniem niezaufanego kodu SQL po stronie bazy danych, a w konsekwencji możliwością wykonania dowolnego kodu na poziomie systemu operacyjnego (RCE).

Skutki

Atakujący może przejąć pełną kontrolę nad bazą danych (odczyt, modyfikacja, usunięcie danych) oraz potencjalnie wykonać dowolny kod na serwerze, co prowadzi do całkowitego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu (https://github.com/vran-dev/databasir/issues/283) w celu uzyskania informacji o dostępnej poprawce. Do czasu instalacji patcha należy rozważyć ograniczenie dostępu do endpointu search API wyłącznie do zaufanych adresów IP na poziomie firewall.