CVE-2026-47668
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
DbGate, menedżer baz danych wieloplatformowy, w wersjach 7.1.8 i wcześniejszych zawiera lukę zdalnego wykonania kodu w JSON script runner (POST /runners/start). Wstrzyknięcie kodu następuje przez parametr functionName w poleceniach assign skryptu JSON, który jest interpolowany bezpośrednio do dynamicznie generowanego kodu JavaScript. Kod jest wykonywany w forkowanym procesie potomnym Node.js. Wersja 7.1.9 zawiera poprawkę.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze DbGate, co prowadzi do pełnej kompromitacji zarządzanych baz danych.
Rekomendacja
Zaktualizuj DbGate do wersji 7.1.9 lub nowszej.
Inne podatności w DbGate
Zobacz wszystkie- CVE-2026-47670Krytyczne
DbGate w wersjach 7.1.8 i wcześniejszych jest podatny na zdalne wykonanie kodu (RCE) po uwierzytelnieniu. Każdy użytkownik z ważnymi poświadczeniami DbGate może wykonać dowolne polecenia systemowe jako root, wykorzystując niesanityzowany parametr functionName w punkcie końcowym /runners/load-reader. Obejście require = null jest trywialne przez dynamiczne import(). Wersja 7.1.9 zawiera poprawkę.
- CVE-2026-47669Krytyczne
W DbGate, menedżerze baz danych, funkcja unzipDirectory() nie sprawdza, czy pliki z archiwum ZIP pozostają w docelowym katalogu, co pozwala na zapis plików poza nim (path traversal). W domyślnej konfiguracji Docker atakujący z sieci może wykorzystać to do wykonania dowolnego kodu jako root.
- CVE-2026-85176Wysokie
DbGate nie waliduje parametrów jslid w kontrolerze jsldata, co pozwala uwierzytelnionym użytkownikom czytać i zapisywać dowolne pliki poprzez rozwiązywanie schematu file://. Atakujący mogą wykorzystać getJslFileName() do obejścia ograniczeń katalogów i uzyskać dostęp do wrażliwych plików, w tym zaszyfrowanych poświadczeń baz danych przechowywanych w konfiguracji połączeń.
- CVE-2026-48017Wysokie
DbGate to wieloplatformowy menedżer baz danych. W wersjach 7.1.8 i starszych endpoint POST /runners/load-reader interpoluje parametr functionName bezpośrednio do szablonu kodu JavaScript bez sanityzacji. Uwierzytelniony użytkownik może wstrzyknąć dowolny kod JavaScript, który wykonuje się na serwerze z pełnymi uprawnieniami procesu Node.js, omijając ograniczenia sandboxa.
- CVE-2026-34725Wysokie
DbGate w wersjach od 7.0.0 do 7.1.4 zawiera podatność na przechowywany XSS, ponieważ kontrolowane przez atakującego ikony SVG są renderowane jako surowy HTML bez sanityzacji. W interfejsie webowym umożliwia to wykonanie skryptów w przeglądarce innego użytkownika, a w aplikacji desktopowej Electron może prowadzić do lokalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
DbGate is cross-platform database manager. In versions 7.1.8 and prior, DbGate's JSON script runner (`POST /runners/start`) allows remote code execution via code injection in the `functionName` parameter of JSON script `assign` commands. The `functionName` value is interpolated directly into dynamically generated JavaScript source code via string concatenation. The generated code is then executed in a forked Node.js child process. Version 7.1.9 contains a patch.