Podatności DbGate

DbGate w wersjach 7.1.8 i wcześniejszych jest podatny na zdalne wykonanie kodu (RCE) po uwierzytelnieniu. Każdy użytkownik z ważnymi poświadczeniami DbGate może wykonać dowolne polecenia systemowe jako root, wykorzystując niesanityzowany parametr functionName w punkcie końcowym /runners/load-reader. Obejście require = null jest trywialne przez dynamiczne import(). Wersja 7.1.9 zawiera poprawkę.

W DbGate, menedżerze baz danych, funkcja unzipDirectory() nie sprawdza, czy pliki z archiwum ZIP pozostają w docelowym katalogu, co pozwala na zapis plików poza nim (path traversal). W domyślnej konfiguracji Docker atakujący z sieci może wykorzystać to do wykonania dowolnego kodu jako root.

DbGate, menedżer baz danych wieloplatformowy, w wersjach 7.1.8 i wcześniejszych zawiera lukę zdalnego wykonania kodu w JSON script runner (POST /runners/start). Wstrzyknięcie kodu następuje przez parametr functionName w poleceniach assign skryptu JSON, który jest interpolowany bezpośrednio do dynamicznie generowanego kodu JavaScript. Kod jest wykonywany w forkowanym procesie potomnym Node.js. Wersja 7.1.9 zawiera poprawkę.

DbGate to wieloplatformowy menedżer baz danych. W wersjach 7.1.8 i starszych endpoint POST /runners/load-reader interpoluje parametr functionName bezpośrednio do szablonu kodu JavaScript bez sanityzacji. Uwierzytelniony użytkownik może wstrzyknąć dowolny kod JavaScript, który wykonuje się na serwerze z pełnymi uprawnieniami procesu Node.js, omijając ograniczenia sandboxa.

DbGate w wersjach od 7.0.0 do 7.1.4 zawiera podatność na przechowywany XSS, ponieważ kontrolowane przez atakującego ikony SVG są renderowane jako surowy HTML bez sanityzacji. W interfejsie webowym umożliwia to wykonanie skryptów w przeglądarce innego użytkownika, a w aplikacji desktopowej Electron może prowadzić do lokalnego wykonania kodu.