CVE-2025-71316
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
SQLite 'sqldiff.exe' niebezpiecznie obsługuje konwersję znaków Unicode na strony kodowe ANSI w środowisku Windows, co pozwala atakującemu na załadowanie dowolnej biblioteki DLL poprzez opcję '-L' i błędną interpretację argumentów wiersza poleceń.
Ocena ryzyka
Atakujący może wykonać dowolny kod w systemie poprzez załadowanie złośliwej biblioteki DLL, co prowadzi do pełnego przejęcia kontroli nad aplikacją.
Rekomendacja
Zaktualizuj SQLite do wersji zawierającej poprawkę z dnia 2025-12-26 lub późniejszej.
Oryginalny opis (angielski, źródło NVD)
SQLite 'sqldiff.exe' does not securely handle the way the Microsoft Windows C runtime converts Unicode characters to ANSI codepages. An attacker could use the '-L' option to load an arbitrary DLL with a crafted command line argument string that results in command line file arguments being misinterpreted as command line options. Fixed on or around 2025-12-26.