CVE-2025-24787 in whodb
Tóm tắt
Bởi VulDB • 26/06/2026
WhoDB là một công cụ quản lý cơ sở dữ liệu mã nguồn mở. Trong các phiên bản bị ảnh hưởng, ứng dụng này dễ bị tổn thương do lỗi tham số injection trong chuỗi kết nối cơ sở dữ liệu, cho phép kẻ tấn công đọc các tệp cục bộ trên máy đang chạy ứng dụng. Ứng dụng sử dụng việc ghép chuỗi (string concatenation) để xây dựng URI kết nối cơ sở dữ liệu, sau đó truyền chúng đến các thư viện tương ứng chịu trách nhiệm thiết lập kết nối cơ sở dữ liệu. Việc ghép chuỗi này được thực hiện một cách không an toàn và không có quá trình thoát ký tự (escaping) hoặc mã hóa đầu vào của người dùng. Điều này cho phép người dùng, trong nhiều trường hợp, chèn các tham số tùy ý vào chuỗi URI. Các tham số này có thể tiềm ẩn nguy cơ nghiêm trọng tùy thuộc vào thư viện được sử dụng. Một trong những tham số nguy hiểm là `allowAllFiles` trong thư viện `github.com/go-sql-driver/mysql`. Nếu giá trị này được đặt thành `true`, thư viện sẽ kích hoạt việc thực thi truy vấn `LOAD DATA LOCAL INFILE` trên bất kỳ tệp nào trên máy chủ (trong trường hợp này, là máy đang chạy WhoDB). Bằng cách chèn `&allowAllFiles=true` vào URI kết nối và kết nối đến bất kỳ máy chủ MySQL nào (chẳng hạn như một máy chủ do kẻ tấn công kiểm soát), kẻ tấn công có thể đọc các tệp cục bộ. Vấn đề này đã được khắc phục trong phiên bản 0.45.0 và tất cả người dùng được khuyến nghị nâng cấp lên phiên bản mới nhất. Hiện không có giải pháp tạm thời (workaround) nào được biết đến cho lỗ hổng bảo mật này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.