CVE-2026-61789 in DBHub
Résumé
par VulDB • 30/10/2026
DBHub est un serveur MCP de base de données pour Postgres, MySQL, SQL Server, Oracle, MariaDB et SQLite. Avant la version 0.22.6, la validation des requêtes en lecture seule peut être contournée sur les connecteurs MySQL et MariaDB. Dans `src/utils/sql-parser.ts`, la fonction `scanSingleLineComment` traite chaque double tiret (`--`) comme le début d'un commentaire, alors que MySQL et MariaDB exigent un espace blanc suivant, un caractère de contrôle ou la fin de la ligne pour interpréter les doubles tirets comme des commentaires. La vérification en lecture seule dans `src/tools/execute-sql.ts` valide les instructions divisées avec `isReadOnlySQL`, mais `src/connectors/mysql/index.ts` et `src/connectors/mariadb/index.ts` exécutent la chaîne originale avec l'option `multipleStatements` activée. Un double tiret suivi d'un caractère non blanc peut donc masquer une instruction DDL ultérieure en écriture ou destructive au validateur, tandis que la base de données interprète les doubles tirets comme des opérateurs moins et exécute les deux instructions. Toute personne capable d'influencer le SQL utilisé par l'assistant, y compris via une injection de prompt dans le contenu lu par celui-ci, peut contourner le mode lecture seule pour modifier ou supprimer des données de la base de données, sous réserve des privilèges du compte utilisateur de la base de données. PostgreSQL n'est pas affecté par cette vulnérabilité car son analyseur de doubles tirets est cohérent avec le vérificateur et son connecteur exécute les instructions divisées individuellement. Ce problème est corrigé dans la version 0.22.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.