CVE-2026-103533
ŚrednieCVSS 4.1Streszczenie
W aplikacji David-Crty databasement do wersji 1.7.1 wykryto podatność w punkcie końcowym API database-servers, w pliku app/Http/Requests/Api/V1/RestoreRequest.php. Manipulacja argumentem schema_name prowadzi do path traversal. Atak może być przeprowadzony zdalnie, wymaga jednak wysokiej złożoności i jest trudny do wykorzystania, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność może pozwolić na nieautoryzowany dostęp do plików poza zamierzonym katalogiem, co grozi wyciekiem danych lub modyfikacją zasobów. Ponieważ exploit jest publiczny, ryzyko wzrasta mimo wysokiej złożoności ataku.
Rekomendacja
Należy jak najszybciej zaktualizować databasement do wersji 1.7.2, która naprawia tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do API database-servers.
Inne podatności w databasement
Zobacz wszystkie- CVE-2026-111875Średnie
W aplikacji Databasement (do wersji 1.8.1) występuje podatność braku autoryzacji w komponencie Scheduled Restore, w pliku app/Http/Requests/Api/V1/SaveScheduledRestoreRequest.php, wynikająca z manipulacji argumentem schema_name. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108963Wysokie
databasement przed wersją 1.8.2 pozwala na zdalne wykonanie kodu, ponieważ uruchamia pewne polecenia (np. mariadb-dump) z nazwą bazy danych, którą może określić każdy uwierzytelniony użytkownik. Na przykład --result-file=/app/public/index.php może zapisać do index.php. Innymi słowy, cytowanie zapobiega wstrzyknięciu poleceń OS w mariadb-dump, ale samo wstrzyknięcie argumentów wystarcza do pośredniego wykonania kodu.
- CVE-2026-103534Średnie
W David-Crty databasement do wersji 1.7.1 stwierdzono podatność w funkcji SnapshotPolicy.viewAny/SnapshotPolicy.view pliku /api/v1/snapshots komponentu Snapshot Model. Manipulacja powoduje nieprawidłową kontrolę dostępu. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 1.7.2 rozwiązuje problem.
- CVE-2026-95654Wysokie
Databasement przed wersją 1.7.14 weryfikuje tokeny zaproszeń tylko przy ładowaniu strony akceptacji, buforując decyzję autoryzacyjną bez ponownego sprawdzania ważności tokenu podczas akceptacji. Atakujący z wyciekłym lub przekazanym linkiem zaproszenia może załadować stronę, gdy zaproszenie jest oczekujące, a następnie zaakceptować je po zaakceptowaniu przez prawowitego użytkownika, aby nadpisać hasło konta i uzyskać dostęp do zarządzanych poświadczeń i sekretów bazy danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in David-Crty databasement up to 1.7.1. This impacts the function https:/github.com/David-Crty/databasement/pull/511 of the file app/Http/Requests/Api/V1/RestoreRequest.php of the component database-servers API Endpoint. The manipulation of the argument schema_name results in path traversal. The attack may be launched remotely. A high complexity level is associated with this attack. The exploitability is said to be difficult. The exploit has been made public and could be used. Upgrading to version 1.7.2 will fix this issue. You should upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS