CVE-2026-61788
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
DBHub to serwer baz danych MCP dla Postgres, MySQL, SQL Server, Oracle, MariaDB, SQLite. Przed wersją 0.22.6 ustawienie `readonly = true` w narzędziu `execute_sql` nie powoduje, że połączenie jest tylko do odczytu. Konektory są napisane tak, aby ustawić PostgreSQL `default_transaction_read_only=on` (i otworzyć SQLite w trybie `readOnly`), ale ten kod jest bramkowany na podstawie wartości konfiguracyjnej, która nigdy nie jest wypełniana, więc nigdy nie działa. Jedyną rzeczą, jaka pozostała w egzekwowaniu trybu tylko do odczytu, jest klasyfikator sprawdzający pierwsze słowo kluczowe każdej instrukcji. Dowolny `SELECT`, który zapisuje wywołanie funkcji lub wywołuje skutki uboczne, przekazuje go. W przypadku zwykłej roli umożliwia to manipulowanie sekwencją; z uprzywilejowaną rolą umożliwia zapisywanie dowolnych plików na serwerze (`lo_export`), odczytywanie dowolnych plików hosta (`pg_read_file`) i zdalne wykonanie kodu (`dblink` + `COPY ... TO PROGRAM`). Transport HTTP jest nieuwierzytelniony i domyślnie powiązany z `0.0.0.0`, więc jest osiągalny dla dowolnego programu wywołującego sieć `/mcp`. Wersja 0.22.6 łata ten problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org