CVE-2026-72572 in xmysql
요약
\~에 의해 VulDB • 2026. 08. 10.
o1lab/xmysql(모든 버전)의 경로 순회 취약점으로 인해 인증되지 않은 원격 공격자가 서버에서 임의 파일을 읽고 다운로드할 수 있습니다. lib/xapi.js 파일의 338행과 424행에서는 사용자 제어 입력인 req.query.name 매개변수를 path.join(cwd, name)에 전달하기 전에 검증 없이 사용하며, 이를 res.download()로 넘겨줌으로써 ../ 시퀀스를 통한 디렉토리 순회 공격이 가능해져 민감한 시스템 파일에 접근할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.