CVE-2026-50006 in Anyquery
摘要
由 VulDB • 2026-09-15
Anyquery 是一个基于 SQLite 构建的 SQL 查询引擎。在 0.4.5 版本之前，anyquery server 会将其 MySQL 兼容服务器端口接收到的未认证 SQL 转发给 SQLite，且不对 ATTACH DATABASE 的文件系统目标进行限制。远程攻击者可以选择 Anyquery 进程可写入的任何路径，导致 SQLite 在该处创建数据库文件，并将由攻击者控制的表内容放入该文件中。这允许任意文件的创建或覆盖，从而导致文件系统完整性丧失和服务拒绝；仅当另一个服务解释所写的文件或该进程具有适当特权的可写目标时，才可能实现远程代码执行（RCE）。此问题已在 0.4.5 版本中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.