CVE-2026-61789

DBHub to serwer baz danych MCP dla Postgres, MySQL, SQL Server, Oracle, MariaDB, SQLite. W wersjach wcześniejszych niż 0.22.6 w przypadku łączników MySQL i MariaDB można ominąć weryfikację SQL tylko do odczytu. W `src/utils/sql-parser.ts`, `scanSingleLineComment` traktuje każdy podwójny myślnik jako początek komentarza, podczas gdy MySQL i MariaDB wymagają następujących białych znaków, znaku kontrolnego lub końca linii. Zaznaczenie tylko do odczytu w `src/tools/execute-sql.ts` sprawdza poprawność instrukcji split z `isReadOnlySQL`, ale `src/connectors/mysql/index.ts` i `src/connectors/mariadb/index.ts` wykonują oryginalny ciąg z włączoną opcją `multipleStatements`. Podwójny myślnik, po którym następuje znak inny niż biała spacja, może zatem ukryć przed walidatorem kolejną instrukcję zapisu lub destrukcyjną DDL, podczas gdy baza danych interpretuje myślniki jako operatory minus i wykonuje obie instrukcje. Każdy, kto może wpłynąć na kod SQL asystenta, w tym poprzez szybkie wprowadzenie treści czytanej przez asystenta, może ominąć tryb tylko do odczytu, aby zmodyfikować lub usunąć dane z bazy danych, z zastrzeżeniem uprawnień konta bazy danych. Ta ścieżka nie ma wpływu na PostgreSQL, ponieważ jego analiza z użyciem podwójnych myślników jest zgodna z modułem sprawdzającym, a jego konektor wykonuje indywidualne instrukcje split. Ten problem został rozwiązany w wersji 0.22.6.