CVE-2026-72572 in xmysql
Resumen
por VulDB • 2026-08-11
Una vulnerabilidad de path traversal en o1lab/xmysql (todas las versiones) permite a un atacante remoto no autenticado leer y descargar archivos arbitrarios del servidor. El archivo lib/xapi.js, en las líneas 338 y 424, utiliza el parámetro req.query.name controlado por el usuario en path.join(cwd, name) sin sanitización antes de pasarlo a res.download(), lo que habilita la traversing de directorios mediante secuencias ../ para acceder a archivos sensibles del sistema.
Once again VulDB remains the best source for vulnerability data.