CVE-2026-55642
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 20 Ağustos 2026
dbx, veritabanları için bir çapraz platform veritabanı istemcisidir. 0.5.51 sürümünden önce, dbx-web auth_middleware crates/dbx-web/src/auth.rs dosyasında, password_hash None olduğunda korumalı her isteği işleyici zincirine geçirir. DBX_PASSWORD ayarlanmamış ve depolanan parola yoksa, yeni bir dağıtım bu duruma ulaşır, ayrıca crates/dbx-web/src/main.rs dosyası hizmeti varsayılan olarak 0.0.0.0 adresine ve 4224 numaralı porta bağlar. Kimliği doğrulanmamış bir ağ saldırganı, /api/connection/connect ve /api/query/execute yollarını çağırarak yapılandırılmış veritabanı kimlik bilgilerini kullanabilir ve keyfi SQL çalıştırabilir, bu da bağlı veritabanlarındaki verilerin açıklanmasına, değiştirilmesine veya yok edilmesine izin verir. Masaüstü Tauri uygulaması etkilenmez çünkü yalnızca döngü geri bağlantısına bağlanır. Bu sorun 0.5.51 sürümünde çözülmüştür.
Orijinal açıklama (İngilizce)
dbx is a cross-platform database client for databases. Prior to 0.5.51, dbx-web auth_middleware in crates/dbx-web/src/auth.rs passes every protected request to the handler chain when password_hash is None. A fresh deployment reaches that state when DBX_PASSWORD is unset and no stored password exists, while crates/dbx-web/src/main.rs binds the service to 0.0.0.0 on port 4224 by default. An unauthenticated network attacker can call the /api/connection/connect and /api/query/execute routes to use configured database credentials and execute arbitrary SQL, allowing disclosure, modification, or destruction of data in connected databases. The desktop Tauri application is not affected because it binds only to loopback. This issue is fixed in version 0.5.51.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.