CVE-2023-42454

SQLpage yalnız SQL əsaslı veb tətbiqi qurucusudur. SQLpage-in 0.11.1 versiyasından əvvəlki versiyalarını istifadə edən və SQLpage instansiyası ictimaiyyətə açıq olan, verilənlər bazası bağlantı sətiri (`connection string`) mühit dəyişənində deyil, `sqlpage/sqlpage.json` konfiqurasiya faylında təyin edilmiş, `web_root` cari işçi kataloq (defolt olaraq) olan və verilənlər bazası ictimaiyyətə açıq olan istifadəçilər hücumçunun SQLPage-dən verilənlər bazası bağlantı məlumatlarını əldə etməsi və onlardan birbaşa bazaya qoşulmaq üçün istifadə etməsi riskinə məruz qalırlar. Versiya 0.11.0 bu problemi həll edir. Bəzi müvəqqəti həll yolları mövcuddur. Verilənlər bazası bağlantı sətirini təyin etmək üçün konfiqurasiya faylı əvəzinə mühit dəyişənindən istifadə etmək, həssas versiyalarda onun ifşa olunmasının qarşısını alır. Fərqli bir `web root` (SQLPage konfiqurasiya kataloqunun valideyni olmayan) istifadə etmək problemi həll edir. Həmçinin, verilənlər bazasının ictimaiyyətə açıq olmasına yol verilməməlidir.