PT-2026-116609

CVE-2026-112005

Publicado

2026-10-18

Atualizado

2026-10-18

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas WhoDB versões 0.104.0 até 0.134.0

Descrição Um problema de traversal de caminho existe que permite que atacantes remotos leiam e escrevam arquivos arbitrários no host. Isso é alcançado executando funções de sistema de arquivos do DuckDB através do editor de consultas. Um atacante pode acessar um arquivo DuckDB sem credenciais e utilizar funções como read text(), read blob(), COPY ... TO ou ATTACH para roubar a session.key e credenciais de banco de dados armazenadas ou sobrescrever arquivos.

Recomendações Atualize o WhoDB para a versão 0.135.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Komiljon Ayubov

Napahlm

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')