CVE-2026-108963
Beschrijving NL
databasement vóór 1.8.2 maakt het uitvoeren van externe code mogelijk omdat het bepaalde opdrachten uitvoert (bijv. mariadb-dump) met een databasenaam die door elke geverifieerde gebruiker kan worden opgegeven. Bijvoorbeeld, --result-file =/app/public/index.php kan schrijven naar index.php. Met andere woorden, citeren voorkomt OS-commando-injectie in mariadb-dump, maar de argumentinjectie alleen is voldoende voor code-uitvoering indirect. OPMERKING: het composer.json-bestand van het project geeft geen onafhankelijk gepubliceerd databasement Composer-pakket aan.
Origineel (Engels) tonen
databasement before 1.8.2 allows remote code execution because it runs certain commands (e.g., mariadb-dump) with a database name that can be specified by any authenticated user. For example, --result-file=/app/public/index.php can write to index.php. In other words, quoting prevents OS command injection in mariadb-dump, but the argument injection alone is sufficient for code execution indirectly. NOTE: the project's composer.json file does not indicate an independently published databasement Composer package.