Résumé
généré automatiquement à partir des données NVDWhoDB, des versions 0.104.0 jusqu'à avant la 0.135.0, est affecté par une faille de path traversal (CWE-22) dans son éditeur de requêtes. Un attaquant distant peut se connecter à un fichier DuckDB sans identifiants, puis utiliser read_text, read_blob, COPY ... TO ou ATTACH pour lire et écrire des fichiers arbitraires de l'hôte, notamment session.key et les identifiants de bases stockés. Sévérité élevée : CVSS v3.1 de 7.7 (HIGH).
Description NVD (anglais)
WhoDB 0.104.0 before 0.135.0 contains a path traversal vulnerability that allows remote attackers to read and write arbitrary host files by running DuckDB filesystem functions through the query editor. Attackers can log in to a DuckDB file without credentials and use read_text, read_blob, COPY ... TO or ATTACH to steal session.key and stored database credentials or overwrite files.
EPSS · FIRST.org
0,57 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 46 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 18 oct. 2026
- Mis à jour
- 18 oct. 2026
- Statut
- Received
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (6)
CVEs similaires
Autres vulnérabilités de type CWE-22
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.