CVE-2026-47670
CVE-2026-47670 · DbGate Vulnerable to Authenticated Remote Code Execution via loadReader functionName code injection
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
DbGate is cross-platform database manager. Versions 7.1.8 and prior are vulnerable to authenticated Remote Code Execution (RCE). Any user with valid DbGate credentials can execute arbitrary OS commands as root by exploiting an unsanitized `functionName` parameter in the `/runners/load-reader` endpoint. The `require = null` mitigation is trivially bypassed via dynamic `import()`. Version 7.1.9 contains a patch.
CVSS 9.4 · Crítica · EPSS 1,8% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
dbgate
- Versiones
- < 7.1.9: Afectada
Sin corrección publicada
dbgate-api npm
- Intervalos de versiones afectados
- SEMVER: < 7.1.9
Actualiza a 7.1.9