CVE-2025-24787 in whodb
Sumário
de VulDB • 14/06/2026
WhoDB é uma ferramenta de gerenciamento de banco de dados de código aberto. Nas versões afetadas, o aplicativo está vulnerável a injeção de parâmetros nas strings de conexão do banco de dados, o que permite que um atacante leia arquivos locais na máquina onde o aplicativo está em execução. O aplicativo utiliza concatenação de strings para construir URIs de conexão ao banco de dados, as quais são então passadas às bibliotecas correspondentes responsáveis por configurar as conexões com o banco de dados. Essa concatenação é feita de maneira insegura e sem escapar ou codificar a entrada do usuário. Isso permite que um usuário, em muitos casos, injete parâmetros arbitrários na string URI. Esses parâmetros podem ser potencialmente perigosos dependendo das bibliotecas utilizadas. Um desses parâmetros perigosos é `allowAllFiles` na biblioteca `github.com/go-sql-driver/mysql`. Se isso for definido como `true`, a biblioteca permite executar a consulta `LOAD DATA LOCAL INFILE` em qualquer arquivo na máquina host (neste caso, a máquina onde o WhoDB está sendo executado). Ao injetar `&allowAllFiles=true` no URI de conexão e conectar-se a qualquer servidor MySQL (como um controlado pelo atacante), o atacante é capaz de ler arquivos locais. Este problema foi resolvido na versão 0.45.0 e todos os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para esta vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.