CVE-2026-72572

Nome do Software Vulnerável e Versões Afetadas o1lab/xmysql (versões afetadas não especificadas)

Description Um invasor remoto não autenticado pode ler e baixar arquivos arbitrários do servidor. O problema ocorre no arquivo lib/xapi.js, onde o parâmetro req.query.name é utilizado em path.join(cwd, name) sem a devida sanitização antes de ser passado para a função res.download(). Isso permite a travessia de diretórios usando sequências ../ para acessar arquivos sensíveis do sistema.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.