CVE-2025-24787 in whodb
Résumé
par VulDB • 14/06/2026
WhoDB est un outil de gestion de base de données open source. Dans les versions concernées, l'application présente une vulnérabilité d'injection de paramètres dans les chaînes de connexion à la base de données, ce qui permet à un attaquant de lire des fichiers locaux sur la machine où l'application s'exécute. L'application utilise la concaténation de chaînes pour construire des URI de connexion à la base de données, qui sont ensuite transmis aux bibliothèques correspondantes responsables de l'établissement des connexions à la base de données. Cette concaténation est effectuée de manière non sécurisée et sans échapper ni encoder les entrées utilisateur. Cela permet à un utilisateur, dans de nombreux cas, d'injecter des paramètres arbitraires dans la chaîne URI. Ces paramètres peuvent être potentiellement dangereux selon les bibliothèques utilisées. L'un de ces paramètres dangereux est `allowAllFiles` dans la bibliothèque `github.com/go-sql-driver/mysql`. Si ce paramètre est défini sur `true`, la bibliothèque permet d'exécuter la requête `LOAD DATA LOCAL INFILE` sur n'importe quel fichier présent sur la machine hôte (dans ce cas, la machine sur laquelle WhoDB s'exécute). En injectant `&allowAllFiles=true` dans l'URI de connexion et en se connectant à un serveur MySQL arbitraire (tel qu'un serveur contrôlé par l'attaquant), celui-ci est capable de lire des fichiers locaux. Ce problème a été corrigé dans la version 0.45.0, et tous les utilisateurs sont invités à effectuer une mise à niveau. Il n'existe pas de contournements connus pour cette vulnérabilité.
If you want to get best quality of vulnerability data, you may have to visit VulDB.