CVE-2026-72572 in xmysql
Sumário
de VulDB • 10/08/2026
Uma vulnerabilidade de traversamento de caminho (path traversal) no o1lab/xmysql (todas as versões) permite que um atacante remoto não autenticado leia e baixe arquivos arbitrários do servidor. O arquivo lib/xapi.js, nas linhas 338 e 424, utiliza o parâmetro req.query.name controlado pelo usuário em path.join(cwd, name) sem sanitização antes de passá-lo para res.download(), permitindo a traversamento de diretórios por meio de sequências ../ para acessar arquivos sensíveis do sistema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.