DBHub : contournement du mode lecture seule avec les connecteurs MariaDB/MySQL

Veille sécuritéBackend & données

P4Moyenne

Une erreur d’analyse des commentaires SQL permet de contourner le mode lecture seule de DBHub avec les connecteurs MySQL et MariaDB, et peut entraîner l’exécution de requêtes d’écriture ou de suppression. Le problème est corrigé dans DBHub 0.22.6 ; mettre à jour et limiter les privilèges du compte de base de données.

IdentifiantCVE-2026-61789

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif0.22.6

Source : NVD — CVE-2026-61789

Analyse technique

Le validateur traite à tort tout double tiret comme le début d’un commentaire, tandis que MySQL/MariaDB appliquent une règle différente. Le connecteur peut ensuite exécuter la chaîne originale avec plusieurs instructions activées, alors que le contrôle lecture seule a validé une analyse fractionnée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-10-30T17:17:26.743Z, dans la période demandée ; la mise à jour indiquée quelques secondes plus tard n’est pas retenue comme événement distinct.

ImpactUn utilisateur pouvant influencer le SQL exécuté peut faire modifier ou supprimer des données, dans les limites des privilèges du compte utilisé.

Versions affectéesDBHub antérieur à 0.22.6 ; connecteurs MySQL et MariaDB concernés.

Version corrigée0.22.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.1

Publication2026-10-30T17:17:26.743Z

Mise à jour2026-10-30T17:17:26.867Z

Action recommandée

Mettre DBHub à jour en version 0.22.6 ou ultérieure et appliquer le principe du moindre privilège au compte de base de données.

Sources

NVD — CVE-2026-61789

Priorisation DFS : P4 · 1 source(s).