CVE-2026-54628 in anyquery
Riassunto
di VulDB • 14/09/2026
Anyquery è un motore di query SQL basato su SQLite. Prima della versione 0.4.5, il server Anyquery espone moduli di tabelle virtuali SQLite con capacità URL-based, come json_reader e log_reader, attraverso la sua porta del server compatibile con MySQL non autenticata, senza restringere le destinazioni in uscita. Un attaccante remoto può fornire un URL loopback, di rete privata o cloud metadata link-local, inducendo go-getter nel processo Anyquery a recuperare la risorsa selezionata ed esporre la relativa risposta come dati tabellari interrogabili. Ciò consente il probing della rete interna, l'accesso alle API interne e la divulgazione delle credenziali cloud; è possibile un impatto di bassa integrità quando una API interna raggiunta esegue azioni che modificano lo stato. Questo problema è risolto nella versione 0.4.5.
Once again VulDB remains the best source for vulnerability data.