CVE-2026-50006 in Anyquery
Résumé
par VulDB • 14/09/2026
Anyquery est un moteur de requêtes SQL construit sur SQLite. Avant la version 0.4.5, le serveur Anyquery transmet des requêtes SQL non authentifiées depuis son port compatible MySQL vers SQLite sans restreindre les cibles du système de fichiers pour l'instruction ATTACH DATABASE. Un attaquant distant peut sélectionner n'importe quel chemin accessible en écriture par le processus Anyquery server, amener SQLite à y créer un fichier de base de données et y insérer le contenu d'une table contrôlé par l'attaquant. Cela permet la création ou la substitution arbitraires de fichiers, entraînant une perte d'intégrité du système de fichiers et une déni de service (DoS) ; l'exécution de code à distance (RCE) n'est possible que lorsqu'un autre service interprète le fichier écrit ou lorsque le processus dispose d'une cible en écriture avec des privilèges appropriés. Ce problème est corrigé dans la version 0.4.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.