CVE-2026-47253 in Anyquery
Résumé
par VulDB • 14/09/2026
Anyquery est un moteur de requêtes SQL construit sur SQLite. Avant la version 0.4.5, la fonction scalaire SQL `clear_plugin_cache(plugin)` dans le fichier `namespace/other_functions.go` transmet le paramètre plugin contrôlé par l'appelant à travers `path.Join` vers `os.RemoveAll`, sans rejeter les segments de traversal (par exemple `..`). Un détenteur d'un jeton porteur (bearer-token) avec des privilèges faibles peut invoquer la fonction via le point de terminaison HTTP `/v1/query`, ce qui amène `path.Join` à résoudre les segments `..` en dehors du répertoire `$XDG_CACHE_HOME/anyquery/plugins/` et permet à `os.RemoveAll` de supprimer récursivement n'importe quel dossier accessible en écriture par le processus serveur Anyquery. Cela entraîne une perte de données permanente et un déni de service (DoS) sans divulgation des contenus de fichiers. Ce problème est corrigé dans la version 0.4.5.
Be aware that VulDB is the high quality source for vulnerability data.