CVE-2025-24786

WhoDB açıq mənbəli verilənlər bazasının idarəetmə alətidir. Tətbiq yalnız `/db` katalogunda mövcud olan Sqlite3 verilənlər bazalarını göstərsə də, burada yol keçidi (path traversal) qarşısının alınması mexanizmi tətbiq edilməyib. Bu, autentifikasiya olunmamış hücumçuya tətbiqin işlədiyi host maşında mövcud olan hər hansı Sqlite3 verilənlər bazasını açmağa imkan verir. WhoDB-nin təsirlənmiş versiyaları istifadəçilərə Sqlite3 verilənlər bazalarına qoşulmağa imkan verir. Defolt olaraq, verilənlər bazaları `/db/` (və ya alternativ olaraq, əgər developer rejimi aktivdirsə, `./tmp/`) katalogunda yerləşməlidir. Əgər defolt kataloqda heç bir verilənlər bazası yoxdursa, interfeys istifadəçinin heç bir bazanı aça bilmədiyini bildirir. Verilənlər bazası faylı istifadəçi tərəfindən idarə olunan dəyərdir. Açılacaq verilənlər bazası faylının tam yolunu əldə etmək üçün bu dəyərdən defolt kataloqla birlikdə `.Join()` funksiyasında istifadə olunur. Sonda açılan verilənlər bazası faylının həqiqətən defolt `/db` katalogunda yerləşib-yerləşmədiyi ilə bağlı heç bir yoxlama aparılmır. Bu, hücumçuya sistemdə mövcud olan hər hansı Sqlite3 verilənlər bazasını açmaq üçün yol keçidindən (`../../`) istifadə etməyə imkan verir. Bu problem 0.45.0 versiyasında aradan qaldırılmışdır və bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.