WhoDB یک ابزار متن‌باز برای مدیریت پایگاه داده SQLite3 است. اخیراً آسیب‌پذیری بحرانی با شدت 10 و شناسه‌ی CVE-2025-24768 در این ابزار شناسایی شده است. این نقص به یک مهاجم از راه دور اجازه می‌دهد بدون احراز هویت و با روش پیمایش مسیر، به هر فایل پایگاه داده SQLite3 یا اطلاعات حساس روی سرور دسترسی پیدا کند.
جزئیات آسیب‌پذیری
ابزار WhoDB به‌طور پیش‌فرض پایگاه داده‌های موجود در مسیر /db/ را نمایش می‌دهد، اما به دلیل نبود روش‌های جلوگیری از پیمایش مسیر، مهاجم می‌تواند با ارسال یک درخواست مخرب حاوی /../.. به مسیر دلخواه و پایگاه داده‌های خارج از /db/ دسترسی پیدا کند.
در نسخه‌های آسیب‌پذیر، مقدار نام فایل پایگاه داده که توسط کاربر مشخص می‌شود، بدون اعتبارسنجی با /db/ و با استفاده از متد ()join ترکیب شده و مسیر کامل فایل ساخته می‌شود.
- متد ()join فقط رشته‌ها را ترکیب می‌کند، اما بررسی نمی‌کند که مسیر نهایی همچنان در محدوده‌ی دایرکتوری مجاز /db/ باشد.
- به همین دلیل، مهاجم می‌تواند با عبور از دایرکتوری‌های مجاز، به فایل‌های پایگاه داده خارج از /db/ دسترسی پیدا کند.
بردار CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N نشان می‌دهد که:
- این آسیب‌پذیری از راه دور، بدون نیاز به احراز هویت و با حداقل دانش قابل بهره‌برداری است،
- بهره‌برداری از این نقص امنیتی می‌تواند یکپارچگی و محرمانگی را تحت تأثیر قرار دهد اما روی دسترس‌پذیری سیستم تأثیر مستقیمی ندارد.
نسخه‌های تحت تأثیر
کلیه‌ی نسخه‌های قبل از 0.45.0 تحت تأثیر این آسیب‌پذیری هستند.
توصیه‌های امنیتی
- نرم‌افزار به نسخه‌ی 0.45.0 یا نسخه‌های جدیدتر که این آسیب‌پذیری را برطرف کرده است، ارتقا یابد.
- مجوزهای فایل‌ها و دایرکتوری‌ها به‌گونه‌ای تنظیم گردد که برنامه‌ی WhoDB بتواند تنها به مسیر /db/ دسترسی داشته باشد.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2025-24768
- 45