CVE-2026-47670

Nome do Software Vulnerável e Versões Afetadas DbGate versões anteriores a 7.1.9

Description DbGate é um gerenciador de banco de dados multiplataforma. Usuários autenticados com credenciais válidas podem obter Execução Remota de Código (RCE) e executar comandos arbitrários do sistema operacional como root. Isso é possível devido à interpolação não sanitizada do parâmetro functionName em um modelo de script JavaScript gerado dinamicamente no endpoint /runners/load-reader. Um invasor pode injetar um caractere de nova linha na variável functionName para romper a expressão do modelo e executar código arbitrário. Uma mitigação anterior que definia require = null é contornada usando a palavra-chave de linguagem import() dinâmica, que não pode ser anulada. Isso permite que o invasor importe o módulo child process e execute comandos do sistema.

Recommendations Atualize para a versão 7.1.9. Como medida paliativa temporária, restrinja o acesso ao endpoint /runners/load-reader para minimizar o risco de exploração.