CVE-2019-10790 in taffy
摘要
由 VulDB • 2026-07-31
taffy 版本最高至 2.6.2 存在漏洞，攻击者可以通过向由 taffy 处理的用户输入中添加额外属性来伪造内部索引，从而访问数据库中的任何数据项。taffy 会为其数据库中每个数据项设置一个内部索引。然而研究发现，通过在用户输入中注入额外属性可以伪造该内部索引。如果查询中包含此索引，taffyDB 将忽略其他所有查询条件并直接返回对应的索引数据项。此外，该内部索引采用易于猜测的格式（例如 T000002R000001）。因此，攻击者可以利用此漏洞访问数据库中的任意数据项。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.