CVE-2026-34725
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
DbGate w wersjach od 7.0.0 do 7.1.4 zawiera podatność na przechowywany XSS, ponieważ kontrolowane przez atakującego ikony SVG są renderowane jako surowy HTML bez sanityzacji. W interfejsie webowym umożliwia to wykonanie skryptów w przeglądarce innego użytkownika, a w aplikacji desktopowej Electron może prowadzić do lokalnego wykonania kodu.
Ocena ryzyka
Atakujący może wykraść sesje innych użytkowników lub przejąć kontrolę nad stacją roboczą administratora bazy danych.
Rekomendacja
Zaktualizuj DbGate do wersji 7.1.5 lub nowszej.
Inne podatności w DbGate
Zobacz wszystkie- CVE-2026-47670Krytyczne
DbGate w wersjach 7.1.8 i wcześniejszych jest podatny na zdalne wykonanie kodu (RCE) po uwierzytelnieniu. Każdy użytkownik z ważnymi poświadczeniami DbGate może wykonać dowolne polecenia systemowe jako root, wykorzystując niesanityzowany parametr functionName w punkcie końcowym /runners/load-reader. Obejście require = null jest trywialne przez dynamiczne import(). Wersja 7.1.9 zawiera poprawkę.
- CVE-2026-47669Krytyczne
W DbGate, menedżerze baz danych, funkcja unzipDirectory() nie sprawdza, czy pliki z archiwum ZIP pozostają w docelowym katalogu, co pozwala na zapis plików poza nim (path traversal). W domyślnej konfiguracji Docker atakujący z sieci może wykorzystać to do wykonania dowolnego kodu jako root.
- CVE-2026-47668Krytyczne
DbGate, menedżer baz danych wieloplatformowy, w wersjach 7.1.8 i wcześniejszych zawiera lukę zdalnego wykonania kodu w JSON script runner (POST /runners/start). Wstrzyknięcie kodu następuje przez parametr functionName w poleceniach assign skryptu JSON, który jest interpolowany bezpośrednio do dynamicznie generowanego kodu JavaScript. Kod jest wykonywany w forkowanym procesie potomnym Node.js. Wersja 7.1.9 zawiera poprawkę.
- CVE-2026-48017Wysokie
DbGate to wieloplatformowy menedżer baz danych. W wersjach 7.1.8 i starszych endpoint POST /runners/load-reader interpoluje parametr functionName bezpośrednio do szablonu kodu JavaScript bez sanityzacji. Uwierzytelniony użytkownik może wstrzyknąć dowolny kod JavaScript, który wykonuje się na serwerze z pełnymi uprawnieniami procesu Node.js, omijając ograniczenia sandboxa.
Oryginalny opis (angielski, źródło NVD)
DbGate is cross-platform database manager. From version 7.0.0 to before version 7.1.5, a stored XSS vulnerability exists in DbGate because attacker-controlled SVG icon strings are rendered as raw HTML without sanitization. In the web UI this allows script execution in another user's browser; in the Electron desktop app this can escalate to local code execution because Electron is configured with nodeIntegration: true and contextIsolation: false. This issue has been patched in version 7.1.5.