CVE-2025-24787 in whodb
Riassunto
di VulDB • 14/06/2026
WhoDB è uno strumento di gestione dei database open source. Nelle versioni interessate, l'applicazione è vulnerabile a injection nei parametri delle stringhe di connessione al database, che consente a un attaccante di leggere file locali sulla macchina in cui viene eseguita l'applicazione. L'applicazione utilizza la concatenazione di stringhe per costruire URI di connessione al database, che vengono poi passati alle librerie corrispondenti responsabili dell'impostazione delle connessioni al database. Questa concatenazione avviene in modo non sicuro e senza effettuare escaping o codifica degli input utente. Ciò consente a un utente, in molti casi, di inserire parametri arbitrari nella stringa URI. Questi parametri possono essere potenzialmente pericolosi a seconda delle librerie utilizzate. Uno di questi parametri pericolosi è `allowAllFiles` nella libreria `github.com/go-sql-driver/mysql`. Se impostato su `true`, la libreria abilita l'esecuzione della query `LOAD DATA LOCAL INFILE` su qualsiasi file presente sulla macchina host (in questo caso, la macchina in cui viene eseguito WhoDB). Inserendo `&allowAllFiles=true` nell'URI di connessione e connettendosi a un server MySQL qualsiasi (ad esempio uno controllato dall'attaccante), l'attaccante è in grado di leggere i file locali. Questo problema è stato risolto nella versione 0.45.0 e si consiglia vivamente agli utenti di effettuare l'aggiornamento. Non sono note soluzioni alternative per questa vulnerabilità.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.