CVE-2026-54628
WysokieCVSS 8.6Streszczenie
Anyquery przed wersją 0.4.5 udostępnia przez nieuwierzytelniony port serwera MySQL kompatybilne z SQLite moduły tabel wirtualnych obsługujące URL-e (json_reader, log_reader) bez ograniczania docelowych adresów wychodzących. Zdalny atakujący może podać adres loopback, sieci prywatnej lub link-local (np. metadane chmury), co powoduje pobranie zasobu przez go-getter i udostępnienie odpowiedzi jako danych tabeli.
Ocena ryzyka
Umożliwia sondowanie sieci wewnętrznej, dostęp do wewnętrznych API oraz ujawnienie poświadczeń chmury; w przypadku API zmieniającego stan możliwe są również nieautoryzowane modyfikacje.
Rekomendacja
Zaktualizuj Anyquery do wersji 0.4.5 lub nowszej. Do czasu aktualizacji ogranicz dostęp do portu serwera MySQL wyłącznie do zaufanych sieci i wyłącz niepotrzebne moduły tabel wirtualnych.
Inne podatności w Anyquery
Zobacz wszystkie- CVE-2026-54629Wysokie
Anyquery przed wersją 0.4.5 udostępnia moduły wirtualnych tabel SQLite (csv_reader, log_reader) przez port serwera MySQL bez uwierzytelnienia, co pozwala zdalnemu atakującemu na odczyt dowolnych plików z systemu.
- CVE-2026-47253Wysokie
W Anyquery przed wersją 0.4.5 funkcja SQL clear_plugin_cache(plugin) w namespace/other_functions.go przekazuje kontrolowany przez wywołującego parametr plugin przez path.Join do os.RemoveAll bez odrzucania segmentów przejścia katalogowego. Posiadacz tokenu bearer z niskimi uprawnieniami może wywołać tę funkcję przez endpoint /v1/query, powodując rekursywne usunięcie dowolnego katalogu zapisywalnego przez proces serwera.
- CVE-2026-50006Krytyczne
Anyquery przed wersją 0.4.5 przekazuje nieuwierzytelnione zapytania SQL z portu serwera kompatybilnego z MySQL do SQLite bez ograniczania celów systemu plików ATTACH DATABASE. Zdalny atakujący może wybrać dowolną ścieżkę zapisywalną przez proces serwera Anyquery, spowodować utworzenie tam pliku bazy danych przez SQLite i umieścić w nim kontrolowaną przez siebie treść tabeli. Umożliwia to tworzenie lub nadpisywanie dowolnych plików, powodując utratę integralności systemu plików i odmowę usługi; zdalne wykonanie kodu jest możliwe tylko wtedy, gdy inna usługa interpretuje zapisany plik lub proces ma odpowiednio uprzywilejowany cel zapisu. Luka została naprawiona w wersji 0.4.5.
Oryginalny opis (angielski, źródło NVD)
Anyquery is an SQL query engine built on top of SQLite. Prior to 0.4.5, anyquery server exposes URL-capable SQLite virtual table modules such as json_reader and log_reader through its unauthenticated MySQL-compatible server port without restricting outbound destinations. A remote attacker can provide a loopback, private-network, or link-local cloud metadata URL, causing go-getter in the Anyquery server process to fetch the selected resource and expose its response as queryable table data. This permits internal network probing, access to internal APIs, and disclosure of cloud credentials; low-integrity impact is possible when a reached internal API performs state-changing actions. This issue is fixed in version 0.4.5.