CVE-2026-97226
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
DbGate do wersji 7.2.5/7.3.1-premium-beta.1 zawiera podatność na path traversal w funkcji fs.readFile w pliku packages/api/src/controllers/files.js. Manipulacja argumentami filePath/uri pozwala atakującemu na zdalny odczyt dowolnych plików poza dozwolonym katalogiem.
Ocena ryzyka
Zdalny atakujący może uzyskać dostęp do poufnych plików w systemie, co może prowadzić do wycieku danych lub dalszej kompromitacji serwera.
Rekomendacja
Ogranicz dostęp do usługi i zastosuj odpowiednią walidację oraz sanityzację argumentów ścieżek. Monitoruj komunikację od producenta w celu uzyskania aktualizacji, ponieważ nie odpowiedział na zgłoszenie.
Inne podatności w DbGate
Zobacz wszystkie- CVE-2026-47670Krytyczne
DbGate w wersjach 7.1.8 i wcześniejszych jest podatny na zdalne wykonanie kodu (RCE) po uwierzytelnieniu. Każdy użytkownik z ważnymi poświadczeniami DbGate może wykonać dowolne polecenia systemowe jako root, wykorzystując niesanityzowany parametr functionName w punkcie końcowym /runners/load-reader. Obejście require = null jest trywialne przez dynamiczne import(). Wersja 7.1.9 zawiera poprawkę.
- CVE-2026-47669Krytyczne
W DbGate, menedżerze baz danych, funkcja unzipDirectory() nie sprawdza, czy pliki z archiwum ZIP pozostają w docelowym katalogu, co pozwala na zapis plików poza nim (path traversal). W domyślnej konfiguracji Docker atakujący z sieci może wykorzystać to do wykonania dowolnego kodu jako root.
- CVE-2026-47668Krytyczne
DbGate, menedżer baz danych wieloplatformowy, w wersjach 7.1.8 i wcześniejszych zawiera lukę zdalnego wykonania kodu w JSON script runner (POST /runners/start). Wstrzyknięcie kodu następuje przez parametr functionName w poleceniach assign skryptu JSON, który jest interpolowany bezpośrednio do dynamicznie generowanego kodu JavaScript. Kod jest wykonywany w forkowanym procesie potomnym Node.js. Wersja 7.1.9 zawiera poprawkę.
- CVE-2026-97225Średnie
W DbGate do wersji 7.2.5-beta.5 wykryto podatność na wstrzykiwanie kodu w komponencie JSON Runner. Manipulacja argumentami comment.text/script.schedule w pliku packages/api/src/controllers/runners.js może prowadzić do zdalnego wykonania kodu. Aktualizacja do wersji 7.2.5-beta.6 usuwa problem.
- CVE-2026-85176Wysokie
DbGate nie waliduje parametrów jslid w kontrolerze jsldata, co pozwala uwierzytelnionym użytkownikom czytać i zapisywać dowolne pliki poprzez rozwiązywanie schematu file://. Atakujący mogą wykorzystać getJslFileName() do obejścia ograniczeń katalogów i uzyskać dostęp do wrażliwych plików, w tym zaszyfrowanych poświadczeń baz danych przechowywanych w konfiguracji połączeń.
- CVE-2026-48017Wysokie
DbGate to wieloplatformowy menedżer baz danych. W wersjach 7.1.8 i starszych endpoint POST /runners/load-reader interpoluje parametr functionName bezpośrednio do szablonu kodu JavaScript bez sanityzacji. Uwierzytelniony użytkownik może wstrzyknąć dowolny kod JavaScript, który wykonuje się na serwerze z pełnymi uprawnieniami procesu Node.js, omijając ograniczenia sandboxa.
- CVE-2026-34725Wysokie
DbGate w wersjach od 7.0.0 do 7.1.4 zawiera podatność na przechowywany XSS, ponieważ kontrolowane przez atakującego ikony SVG są renderowane jako surowy HTML bez sanityzacji. W interfejsie webowym umożliwia to wykonanie skryptów w przeglądarce innego użytkownika, a w aplikacji desktopowej Electron może prowadzić do lokalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in DbGate up to 7.2.5/7.3.1-premium-beta.1. This impacts the function fs.readFile of the file packages/api/src/controllers/files.js of the component files-style Endpoint. The manipulation of the argument filePath/uri leads to path traversal. It is possible to initiate the attack remotely. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS