CVE-2026-76803

Nome do Software Vulnerável e Versões Afetadas Nuclei versões 3.0.0 até 3.9.9

Description A biblioteca JavaScript nuclei/mysql não impõe a sandbox de arquivos locais quando um template JavaScript utiliza a opção de DSN MySQL allowAllFiles. Isso permite que um template javascript: não confiável, ao escanear um endpoint compatível com MySQL, dispare solicitações LOAD DATA LOCAL INFILE para caminhos arbitrários. Consequentemente, o cliente MySQL lê os arquivos solicitados e retorna seus conteúdos ao servidor, ignorando a restrição -allow-local-file-access. Este problema afeta implantações de CLI e SDK que aceitam templates não confiáveis, pois templates JavaScript podem ser executados sem assinatura e sem a flag -code nas versões afetadas.

Recommendations Atualize para a versão 3.10.0. Evite executar templates JavaScript de fontes não verificadas, especialmente contra endpoints de banco de dados não confiáveis.