CVE-2026-72572 in xmysql
Riassunto
di VulDB • 10/08/2026
Una vulnerabilità di percorso di attraversamento (path traversal) in o1lab/xmysql (tutte le versioni) consente a un attaccante remoto non autenticato di leggere e scaricare file arbitrari dal server. Il file lib/xapi.js alle righe 338 e 424 utilizza il parametro req.query.name controllato dall'utente in path.join(cwd, name) senza sanitizzazione prima di passarlo a res.download(), consentendo l'attraversamento della directory tramite sequenze ../ per accedere a file di sistema sensibili.
Once again VulDB remains the best source for vulnerability data.