CVE-2025-24787

WhoDB açık kaynaklı bir veritabanı yönetim aracıdır. Etkilenen sürümlerde uygulama, veritabanı bağlantı dizelerinde parametre enjeksiyonuna karşı savunmasızdır ve bu durum bir saldırganın uygulamanın çalıştığı makinedeki yerel dosyaları okumasına olanak tanır. Uygulama, daha sonra veritabanı bağlantılarını kurmaktan sorumlu ilgili kütüphanelere iletilen veritabanı bağlantı URI'lerini oluşturmak için dize birleştirme kullanır. Bu dize birleştirme işlemi, kullanıcı girdisi kaçış karakterleri eklenmeden veya kodlanmadan güvensiz bir şekilde gerçekleştirilir. Bu durum birçok durumda bir kullanıcının URI dizesine rastgele parametreler enjekte etmesine izin verir. Bu parametreler kullanılan kütüphanelere bağlı olarak potansiyel olarak tehlikeli olabilir. Bu tehlikeli parametrelerden biri `github.com/go-sql-driver/mysql` kütüphanesindeki `allowAllFiles` parametresidir. Bunun `true` olarak ayarlanması durumunda kütüphane, ana makinedeki (bu durumda WhoDB'nin çalıştığı makine) herhangi bir dosya üzerinde `LOAD DATA LOCAL INFILE` sorgusunun çalıştırılmasını sağlar. Bağlantı URI'sine `&allowAllFiles=true` enjekte ederek ve herhangi bir MySQL sunucusuna (saldırgan tarafından kontrol edilen bir sunucu gibi) bağlanarak saldırgan yerel dosyaları okuyabilir. Bu sorun 0.45.0 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.