CVE-2026-116053: инъекция команд в dbcli mycli через белый список source.py
В dbcli mycli до версий 2.29.4/2.30.1 обнаружена уязвимость инъекции команд ОС в функции source_special_command_is_safe (файл mycli/packages/special/source.py). Атака возможна локально, эксплойт уже опубликован, вендор не ответил на обращение. CVSS 4.8 — средний уровень опасности.
Подробности
Уязвимость присутствует в dbcli mycli вплоть до версий 2.29.4 и 2.30.1 включительно. Уязвимая функция — source_special_command_is_safe в файле mycli/packages/special/source.py — отвечает за проверку безопасности специальной команды source, загружающей SQL-скрипты. Из-за недостаточной фильтрации входных данных злоумышленник может выполнить манипуляцию, приводящую к инъекции команд операционной системы (OS command injection). Согласно описанию, атака возможна только на локальном хосте: для эксплуатации требуется возможность влиять на аргументы обрабатываемой команды. Уязвимости присвоен рейтинг CVSS 4.8 (MEDIUM). Важно отметить: эксплойт уже опубликован в открытом доступе и может использоваться для атак. Вендор был заблаговременно уведомлён о раскрытии, однако не ответил на обращение, поэтому официальное исправление на момент публикации записи CVE отсутствует.Что делать
Поскольку патч от производителя не выпущен, рекомендуется принять компенсирующие меры:- Не запускайте mycli с повышенными привилегиями и ограничьте круг пользователей, имеющих доступ к утилите.
- Не передавайте в команду source (и связанные специальные команды) данные из недоверенных источников — аргументы должны поступать только из проверенных мест.
- Отслеживайте обновления dbcli mycli и установите исправленную версию сразу после её выхода.
- Рассмотрите ограничение выполнения утилиты на критичных хостах либо её замену на альтернативный клиент до выпуска патча.
- Проверяйте журналы запуска mycli на предмет подозрительных аргументов специальных команд.
Источник: CVE Project (cvelistV5)