CVE-2026-61788 in DBHub
要約
〜によって VulDB • 2026年09月24日
DBHubは、PostgreSQL、MySQL、SQL Server、Oracle、MariaDB、SQLite向けのデータベースMCPサーバーです。バージョン0.22.6より前では、`execute_sql`ツールで `readonly = true` を設定しても、接続が読み取り専用になりません。コネクタはPostgreSQLの `default_transaction_read_only=on` （およびSQLiteを `readOnly` モードで開く）を設定するように実装されていますが、そのコードは決して値が入力されない構成値によって制御されているため、実行されることがありません。読み取り専用に強制している唯一の手段は、各ステートメントの最初のキーワードを検査する分類子です。関数呼び出しを通じて書き込みや副作用を持つ `SELECT` はこれを通過します。通常のロールではシーケンス改ざんが可能になり、特権付きロールではサーバー上の任意ファイルへの書き込み（`lo_export`）、ホストの任意ファイルの読み取り（`pg_read_file`）、およびリモートコード実行（`dblink` + `COPY ... TO PROGRAM`）が可能です。HTTPトランスポートは認証なしでデフォルトで `0.0.0.0` にバインドするため、これは `/mcp` への任意のネットワーク呼び出し元から到達可能です。バージョン0.22.6はこの問題を修正します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.