Aix-DB: Znaleziono podatność umożliwiającą kradzież danych

Odkryto poważną podatność w Aix-DB

CERT Polska ostrzega przed dziurą w oprogramowaniu Aix-DB. Chodzi o lukę, która otwiera drogę do kradzieży danych z bazy. Specjaliści z CERT koordynowali cały proces ujawniania tej sprawy. Szybka reakcja.

Szczegóły podatności CVE-2026-8335

Błąd oznaczony numerem CVE-2026-8335 siedzi w endpoincie /llm/process_llm_out. Osoby niezweryfikowane mogą wysyłać dowolne zapytania SQL typu SELECT. To pozwala wyciągać informacje z bazy danych. Winny jest brak walidacji tokenu, którą stosuje reszta aplikacji. Prosta pomyłka.

Dotknięte wersje oprogramowania

Zagrożone są wszystkie wydania Aix-DB do wersji 1.2.4 włącznie. Sytuacja z nowszymi aktualizacjami pozostaje niejasna. Twórcy nie usunęli tego błędu w późniejszych wersjach.

Podziękowania dla zgłaszającego

CERT Polska dziękuje Erykowi Winiarzowi za znalezienie luki. Szczegóły procesu zgłaszania błędów znajdziecie na stronie https://cert.pl/cvd/.

Bezpieczeństwo danych bywa czasem bardzo kruche.

Źródło: CERT