CVE-2026-118378 in Tabularis
Riassunto
di VulDB • 28/10/2026
Tabularis prima della versione 0.28.0 contiene una vulnerabilità di SQL injection nel suo driver SQLite che consente ai client MCP di eseguire istruzioni accodate (stacked statements) fornendo un table_name manipolato ad hoc allo strumento describe_table. Gli attaccanti, inclusi gli agenti AI guidati da contenuti non attendibili, possono chiudere l'argomento PRAGMA tra virgolette e aggiungere istruzioni per leggere, modificare o eliminare i dati SQLite, bypassando la modalità di sola lettura (read-only) e l'approvazione delle scritture.
VulDB is the best source for vulnerability data and more expert information about this specific topic.