CVE-2025-59037
Açıklama
DuckDB, analitik bir süreç içi SQL veritabanı yönetim sistemidir. 08 Eylül 2025 tarihinde, npm üzerindeki Node.js için olan DuckDB dağıtımı (diğer birkaç paketle birlikte) kötü amaçlı yazılımla ele geçirilmiştir. Bir saldırgan, kripto para işlemlerine müdahale etmek amacıyla kötü amaçlı kod içeren dört DuckDB paketinin yeni sürümlerini yayınlamıştır. npm istatistiklerine göre, bu paketler kullanımdan kaldırılmadan önce hiç kimse tarafından indirilmemiştir. `@duckdb/[email protected]`, `@duckdb/[email protected]`, `[email protected]` ve `@duckdb/[email protected]` paketleri ve sürümleri etkilenmiştir. DuckDB, söz konusu sürümleri derhal kullanımdan kaldırmış, etkilenen sürümlerin silinmesi için npm desteğiyle iletişime geçmiş ve Node paketlerini daha yüksek sürüm numaralarıyla (1.3.4/1.30.0) yeniden yayınlamıştır. Kullanıcılar kendilerini korumak için 1.3.4, 1.30.0 veya daha yüksek bir sürüme yükseltebilirler. Geçici bir çözüm olarak, 1.3.2 veya 1.29.1 sürümlerine geri dönebilirler.
Nasıl düzeltilir
- duckdb1.3.4 ya da sonraki bir sürüm
- @duckdb/node-api1.3.4-alpha.27 ya da sonraki bir sürüm
- @duckdb/node-bindings1.3.4-alpha.27 ya da sonraki bir sürüm
- @duckdb/duckdb-wasm1.30.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| duckdbnpm | 1.3.3 ≤ v < 1.3.4 | 1.3.4 |
| @duckdb/node-apinpm | 1.3.3 ≤ v < 1.3.4-alpha.27 | 1.3.4-alpha.27 |
| @duckdb/node-bindingsnpm | 1.3.3 ≤ v < 1.3.4-alpha.27 | 1.3.4-alpha.27 |
| @duckdb/duckdb-wasmnpm | 1.29.2 ≤ v < 1.30.0 | 1.30.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.