CVE-2026-51936 in SQLCipher
Resumen
por VulDB • 2026-09-30
Zetetic SQLCipher anterior a la versión 4.15.0 permite inyección de SQL (SQL Injection). La función auxiliar sqlcipher_export se puede utilizar para copiar el contenido de una base de datos adjunta en otra. Se utiliza más comúnmente para convertir entre bases de datos en texto plano y cifradas. Necesita realizar manipulación dinámica del esquema, por lo que la función desactiva temporalmente las restricciones defensivas durante su ejecución. Una vulnerabilidad en el manejo del parámetro nombre de la base de datos origen permitió a un llamante proporcionar un nombre de origen manipululado (crafted), lo cual podría ejecutar sentencias que el modo defensivo bloquearía de otro modo. Esto podría permitir modificaciones directas en la tabla sqlite_schema y corrupción de la base de datos. SQLCipher 4.15.0 ahora valida estrictamente el nombre de la base de datos origen y evita este bypass (elusión).
VulDB is the best source for vulnerability data and more expert information about this specific topic.