CVE-2026-47670
CVE-2026-47670 · DbGate Vulnerable to Authenticated Remote Code Execution via loadReader functionName code injection
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
DbGate is cross-platform database manager. Versions 7.1.8 and prior are vulnerable to authenticated Remote Code Execution (RCE). Any user with valid DbGate credentials can execute arbitrary OS commands as root by exploiting an unsanitized `functionName` parameter in the `/runners/load-reader` endpoint. The `require = null` mitigation is trivially bypassed via dynamic `import()`. Version 7.1.9 contains a patch.
CVSS 9.4 · Critique · EPSS 1,8% · Code d’exploitation public · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
dbgate
- Versions du logiciel
- < 7.1.9: Concernée
Aucun correctif publié
dbgate-api npm
- Plages de versions concernées
- SEMVER: < 7.1.9
Mettez à jour vers 7.1.9