CVE-2026-72572 in xmysql
الملخص
بحسب VulDB • 10/08/2026
ثغرة عبور المسار (Path Traversal) في o1lab/xmysql (جميع الإصدارات) تتيح لمهاجم عن بُعد غير مُصادق عليه قراءة وتنزيل ملفات عشوائية من الخادم. يستخدم الملف lib/xapi.js، عند الأسطر 338 و424، المعلمة req.query.name التي يتحكم فيها المستخدم داخل دالة path.join(cwd, name) دون أي تنقية (sanitization)، قبل تمريرها إلى res.download()، مما يتيح عبور الدلائل عبر تسلسلات ../ للوصول إلى ملفات النظام الحساسة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.