CVE-2026-101066

W dbgate do wersji 7.3.1 wykryto podatność w funkcji exportModelSql w pliku packages/api/src/controllers/databaseConnections.js (komponent Export Handler). Manipulacja argumentem outputFile prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany.

W dbgate do wersji 7.3.1 wykryto lukę w funkcji zipJsonLinesData w pliku packages/api/src/utility/zipJsonLinesData.js (komponent Create Connection Endpoint). Manipulacja argumentem filePath prowadzi do path traversal, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany.

DbGate w wersjach 7.1.8 i wcześniejszych jest podatny na zdalne wykonanie kodu (RCE) po uwierzytelnieniu. Każdy użytkownik z ważnymi poświadczeniami DbGate może wykonać dowolne polecenia systemowe jako root, wykorzystując niesanityzowany parametr functionName w punkcie końcowym /runners/load-reader. Obejście require = null jest trywialne przez dynamiczne import(). Wersja 7.1.9 zawiera poprawkę.

W DbGate, menedżerze baz danych, funkcja unzipDirectory() nie sprawdza, czy pliki z archiwum ZIP pozostają w docelowym katalogu, co pozwala na zapis plików poza nim (path traversal). W domyślnej konfiguracji Docker atakujący z sieci może wykorzystać to do wykonania dowolnego kodu jako root.

DbGate, menedżer baz danych wieloplatformowy, w wersjach 7.1.8 i wcześniejszych zawiera lukę zdalnego wykonania kodu w JSON script runner (POST /runners/start). Wstrzyknięcie kodu następuje przez parametr functionName w poleceniach assign skryptu JSON, który jest interpolowany bezpośrednio do dynamicznie generowanego kodu JavaScript. Kod jest wykonywany w forkowanym procesie potomnym Node.js. Wersja 7.1.9 zawiera poprawkę.

W dbgate do wersji 7.3.1 wykryto podatność w funkcji files w pliku packages/api/src/controllers/runners.js w komponencie Files Endpoint. Manipulacja argumentem runid prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W dbgate do wersji 6.8.1/7.0.2/7.1.8/7.2.5/7.3.1 wykryto lukę w funkcji saveUploadedFile w pliku files.js komponentu save-uploaded-file Endpoint. Manipulacja argumentami filePath/fileName prowadzi do path traversal.

DbGate do wersji 7.2.5/7.3.1-premium-beta.1 zawiera podatność na path traversal w funkcji fs.readFile w pliku packages/api/src/controllers/files.js. Manipulacja argumentami filePath/uri pozwala atakującemu na zdalny odczyt dowolnych plików poza dozwolonym katalogiem.

W DbGate do wersji 7.2.5-beta.5 wykryto podatność na wstrzykiwanie kodu w komponencie JSON Runner. Manipulacja argumentami comment.text/script.schedule w pliku packages/api/src/controllers/runners.js może prowadzić do zdalnego wykonania kodu. Aktualizacja do wersji 7.2.5-beta.6 usuwa problem.

DbGate nie waliduje parametrów jslid w kontrolerze jsldata, co pozwala uwierzytelnionym użytkownikom czytać i zapisywać dowolne pliki poprzez rozwiązywanie schematu file://. Atakujący mogą wykorzystać getJslFileName() do obejścia ograniczeń katalogów i uzyskać dostęp do wrażliwych plików, w tym zaszyfrowanych poświadczeń baz danych przechowywanych w konfiguracji połączeń.