CVE-2020-4035

WatermelonDB (NPM paketi "@nozbe/watermelondb") 0.15.1 ve 0.16.2 versiyonlarından öncekilerde, kötü niyetle oluşturulmuş bir kayıt kimliği (record ID), iOS adaptörü uygulamasındaki bir SQL Injection zafiyetini istismar ederek uygulamanın veritabanından tüm veya seçili kayıtları silmesine neden olabilir; bu durum genellikle uygulamanın kullanılamaz hale gelmesine yol açar. Bu durum, kimlikleri doğrulamayan (geçerli kimlikler `/^[a-zA-Z0-9_-.]+$/` şeklindedir) ve Watermelon Sync veya düşük seviyeli `database.adapter.destroyDeletedRecords` metodunu kullanan uygulamalarda meydana gelebilir. Kötü niyetle silinen kayıtlar senkronize edilmeyeceği için bütünlük riski düşüktür; dolayısıyla çıkış yapıp tekrar giriş yapmak tüm verileri geri yükleyecektir, ancak kötü niyetli silme işlemi senkronizasyon sürecinin push aşamasına geçmesini engellerse bazı yerel değişiklikler kaybolabilir. Bu zafiyet ile gizliliğin ihlal edilmesinin herhangi bir yolu bilinmemektedir. SQLite'da bir silme sorgusu içine ekleme/güncelleme sorgusu yerleştirmek ve noktalı virgülle ayrılmış ikinci bir sorgu iletmek mümkün olmadığından, SQL Injection'ın tam olarak istismar edilmesi engellenmiştir. Ayrıca, kayıtların seçici olarak silinmesiyle gizliliğin ihlal edilmesinin bilinen uygulanabilir bir yolu yoktur çünkü bu kayıtlar senkronize edilmeyecektir. Eğer uygulama güvenlik kararları almak için bir kaydın eksikliğini kullanıyorsa, seçici kayıt silmenin teorik olarak uygulamanın güvensiz davranmasına neden olması mümkündür. Bu sorun 0.15.1, 0.16.2 ve 0.16.1-fix versiyonlarında düzeltilmiştir.