کشف آسیب‌پذیری در WhoDB

تاریخ ایجاد 1403/11/20

WhoDB یک ابزار متن‌باز برای مدیریت پایگاه داده SQLite3 است. اخیراً آسیب‌پذیری بحرانی با شدت 10 و شناسه‌ی CVE-2025-24768 در این ابزار شناسایی شده است. این نقص به یک مهاجم اجازه می‌دهد تا از راه دور بدون احراز هویت و با روش پیمایش مسیر به هر فایل پایگاه داده SQLite3 یا اطلاعات حساس روی سرور دسترسی پیدا کند.

جزئیات آسیب‌پذیری

ابزار WhoDB به‌طور پیش‌فرض پایگاه داده‌های موجود در مسیر /db/ را نمایش می‌دهد، اما به دلیل عدم وجود روش‌های جلوگیری از پیمایش مسیر، مهاجم می‌تواند با ارسال یک درخواست مخرب حاوی ../../ به مسیر دلخواه و پایگاه داده‌های خارج از /db/ دسترسی پیدا کند.

در نسخه‌های آسیب‌پذیر، مقدار نام فایل پایگاه داده که توسط کاربر مشخص می‌شود، بدون اعتبارسنجی با /db/ و با استفاده از متد ()join ترکیب شده و مسیر کامل فایل ساخته می‌شود. متد ()join تنها رشته‌ها را ترکیب می‌کند و بررسی نمی‌کند که مسیر نهایی همچنان در محدوده دایرکتوری مجاز /db/ باشد. به همین دلیل، مهاجم می‌تواند با عبور از دایرکتوری‌های مجاز، به فایل‌های پایگاه داده خارج از /db/ دسترسی پیدا کند.

بردار CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N نشان می‌دهد که:

• این آسیب‌پذیری از راه دور و بدون نیاز به احراز هویت قابل بهره‌برداری است (AV:N/PR:N)،

• پیچیدگی حمله پایین است (AC:L) و بدون نیاز به تعامل کاربر (UI:N)،

• بهره‌برداری از این نقص امنیتی می‌تواند یکپارچگی (I:H) و محرمانگی (C:H) را تحت تأثیر قرار دهد،

• اما روی دسترس‌پذیری سیستم تأثیر مستقیمی ندارد (A:N).

نسخه‌های تحت تأثیر

کلیه نسخه‌های قبل از 0.45.0 تحت تأثیر این آسیب‌پذیری هستند.

توصیه‌های امنیتی

• نرم‌افزار به نسخه‌ی 0.45.0 یا نسخه‌های جدیدتر که این آسیب‌پذیری را برطرف کرده است، ارتقا یابد.

• مجوزهای فایل‌ها و دایرکتوری‌ها به‌گونه‌ای تنظیم شود که برنامه‌ی WhoDB بتواند تنها به مسیر /db/ دسترسی داشته باشد.

منابع خبر:

https://nvd.nist.gov/vuln/detail/CVE-2025-24768

https://github.com/advisories/GHSA-9r4c-jwx3-3j76

https://www.cve.org/CVERecord?id=CVE-2025-24768