Vulnerabilidad · Publicado 18/10/2026
WhoDB versiones 0.104.0 anterior a 0.135.0 contiene una vulnerabilidad de path traversal que permite a atacantes remotos leer y escribir archivos arbitrarios del servidor mediante funciones de sistema de archivos de DuckDB en el editor de consultas. Los atacantes pueden acceder sin credenciales a archivos DuckDB y robar claves de sesión, credenciales almacenadas o sobrescribir archivos altas usando funciones como read_text, read_blob, COPY...TO y ATTACH. Esta vulnerabilidad afecta especialmente a empresas LATAM que utilizan WhoDB para análisis de datos sin implementar controles de acceso robustos.
WhoDB 0.104.0 before 0.135.0 contains a path traversal vulnerability that allows remote attackers to read and write arbitrary host files by running DuckDB filesystem functions through the query editor. Attackers can log in to a DuckDB file without credentials and use read_text, read_blob, COPY ... TO or ATTACH to steal session.key and stored database credentials or overwrite files.
Score: 7.7/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L
CWE-22
Publicado en NIST NVD.