WhoDB یک ابزار متن‌باز برای مدیریت پایگاه داده SQLite3 است. اخیراً آسیب‌پذیری بحرانی با شدت 10 و شناسه‌ی CVE-2025-24768 در این ابزار شناسایی شده است. این نقص به یک مهاجم اجازه می‌دهد تا از راه دور بدون احراز هویت و با روش پیمایش مسیر به هر فایل پایگاه داده SQLite3 یا اطلاعات حساس روی سرور دسترسی پیدا کند.
جزئیات آسیب‌پذیری
ابزار WhoDB به‌طور پیش‌فرض پایگاه داده‌های موجود در مسیر /db/ را نمایش می‌دهد، اما به دلیل عدم وجود روش‌های جلوگیری از پیمایش مسیر، مهاجم می‌تواند با ارسال یک درخواست مخرب حاوی ../../ به مسیر دلخواه و پایگاه داده‌های خارج از /db/ دسترسی پیدا کند.
در نسخه‌های آسیب‌پذیر، مقدار نام فایل پایگاه داده که توسط کاربر مشخص می‌شود، بدون اعتبارسنجی با /db/ و با استفاده از متد ()join ترکیب شده و مسیر کامل فایل ساخته می‌شود. متد ()join تنها رشته‌ها را ترکیب می‌کند و بررسی نمی‌کند که مسیر نهایی همچنان در محدوده دایرکتوری مجاز /db/ باشد. به همین دلیل، مهاجم می‌تواند با عبور از دایرکتوری‌های مجاز، به فایل‌های پایگاه داده خارج از /db/ دسترسی پیدا کند.
بردار CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N نشان می‌دهد که:
- این آسیب‌پذیری از راه دور و بدون نیاز به احراز هویت قابل بهره‌برداری است (AV:N/PR:N)،
- پیچیدگی حمله پایین است (AC:L) و بدون نیاز به تعامل کاربر (UI:N)،
- بهره‌برداری از این نقص امنیتی می‌تواند یکپارچگی (I:H) و محرمانگی (C:H) را تحت تأثیر قرار دهد،
- اما روی دسترس‌پذیری سیستم تأثیر مستقیمی ندارد (A:N).
نسخه‌های تحت تأثیر
کلیه نسخه‌های قبل از 0.45.0 تحت تأثیر این آسیب‌پذیری هستند.
توصیه‌های امنیتی
- نرم‌افزار به نسخه‌ی 0.45.0 یا نسخه‌های جدیدتر که این آسیب‌پذیری را برطرف کرده است، ارتقا یابد.
- مجوزهای فایل‌ها و دایرکتوری‌ها به‌گونه‌ای تنظیم شود که برنامه‌ی WhoDB بتواند تنها به مسیر /db/ دسترسی داشته باشد.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2025-24768
- 67