CVE-2025-24786

WhoDB açık kaynaklı bir veritabanı yönetim aracıdır. Uygulama yalnızca `/db` dizininde bulunan Sqlite3 veritabanlarını görüntülemesine rağmen, herhangi bir yol aşımı (path traversal) önlemi uygulanmamıştır. Bu durum, kimliği doğrulanmamış bir saldırganın uygulamanın çalıştığı ana makinede bulunan herhangi bir Sqlite3 veritabanını açmasına olanak tanır. WhoDB'nin etkilenen sürümleri kullanıcıların Sqlite3 veritabanlarına bağlanmasına izin verir. Varsayılan olarak veritabanlarının `/db/` (veya geliştirme modu etkinse alternatif olarak `./tmp/`) dizininde bulunması gerekir. Varsayılan dizinde hiçbir veritabanı yoksa, kullanıcı arayüzü kullanıcının herhangi bir veritabanını açamadığını belirtir. Veritabanı dosyası kullanıcı tarafından kontrol edilen bir değerdir. Açılacak veritabanı dosyasının tam yolunu elde etmek için bu değer varsayılan dizin ile `.Join()` fonksiyonunda kullanılır. Nihayetinde açılan veritabanı dosyasının gerçekten varsayılan `/db` dizininde olup olmadığına dair herhangi bir kontrol yapılmaz. Bu durum, bir saldırganın sistemde mevcut olan herhangi bir Sqlite3 veritabanını açmak için yol aşımı (`../../`) yöntemini kullanmasına izin verir. Bu sorun 0.45.0 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.