CVE-2026-55509

WysokieCVSS 8.8

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

WsgiDAV przed wersją 4.3.5 zawiera przykładowy provider MySQLBrowserProvider, który łączy klucz rekordu z adresu URL bezpośrednio z klauzulami SQL WHERE. Atakujący mający dostęp do udziału skonfigurowanego z tym nie-domyślnym providerem może wstrzyknąć SQL przez zwykłe żądanie GET.

Ocena ryzyka

Możliwa jest ekstrakcja dowolnych danych dostępnych dla konta MySQL oraz wykorzystanie błędu jako wyroczni statusu, co zagraża poufności danych.

Rekomendacja

Zaktualizuj WsgiDAV do wersji 4.3.5, która zawiera poprawkę.

Inne podatności w WsgiDAV

CVE-2026-48099Wysokie
WsgiDAV w wersji 4.3.3 i wcześniejszych może pozwolić na ucieczkę z katalogu głównego udziału plików przez ścieżkę WebDAV zawierającą zakodowany segment katalogu nadrzędnego w określonym układzie ścieżek. Problem został naprawiony w wersji 4.3.4.

Oryginalny opis (angielski, źródło NVD)

WsgiDAV is a generic and extendable WebDAV server based on WSGI. Prior to 4.3.5, the sample MySQLBrowserProvider in wsgidav/samples/mysql_dav_provider.py concatenates the record key parsed from a request URL directly into SQL WHERE clauses. The affected _exists_record_by_primary_key, _get_field_by_primary_key, and _get_record_by_primary_key methods are part of a shipped example provider that is not enabled by default. An attacker who can access a share explicitly configured with this non-default provider can inject SQL through a normal GET request; anonymously exposed read shares permit a status-code oracle and extraction of arbitrary data reachable by the configured MySQL account. This issue is fixed in version 4.3.5.