Plateforme
nodejs
Composant
dbgate-web
Corrigé dans
7.0.1
7.1.5
CVE-2026-34725 est une vulnérabilité de type Cross-Site Scripting (XSS) stockée affectant DbGate. Elle permet à un attaquant d'exécuter du code arbitraire dans le navigateur d'un autre utilisateur via des chaînes SVG non désinfectées. Les versions affectées sont celles comprises entre 7.0.0 et antérieure à 7.1.5. La vulnérabilité a été corrigée dans la version 7.1.5.
La CVE-2026-34725 affecte DbGate, présentant une vulnérabilité Cross-Site Scripting (XSS) stockée. Cette faille découle de la manière dont DbGate gère les chaînes de caractères d'icônes SVG. Le logiciel rend ces chaînes directement en HTML sans une désinfection appropriée, permettant à un attaquant d'injecter du code malveillant. Dans l'interface web, cela peut entraîner l'exécution de scripts dans le navigateur d'un autre utilisateur. Plus grave encore, dans l'application de bureau Electron, en raison de la configuration de nodeIntegration: true et contextIsolation: false, cette vulnérabilité peut être exploitée pour parvenir à l'exécution de code local, compromettant la sécurité du système.
Un attaquant pourrait exploiter cette vulnérabilité en injectant une chaîne de caractères SVG malveillante dans un contexte où DbGate la stocke et la rend ensuite. Cela pourrait être réalisé en téléchargeant un fichier SVG compromis, en modifiant la configuration de l'application ou en manipulant des données stockées. Dans l'interface web, l'attaquant pourrait exploiter la fonctionnalité de partage ou de collaboration pour envoyer un lien malveillant à un autre utilisateur. Dans l'application Electron, l'exécution de code local permettrait à l'attaquant d'accéder à des fichiers sensibles, d'installer des logiciels malveillants ou de prendre le contrôle du système.
Organizations using DbGate for database management, particularly those deploying the Electron desktop application, are at risk. Shared hosting environments where multiple users share a single DbGate instance are especially vulnerable, as an attacker could potentially compromise other users' accounts. Users relying on legacy DbGate configurations with less stringent security controls are also at higher risk.
• nodejs / desktop: Monitor DbGate Electron app processes for unusual network activity or unexpected file modifications. Use process monitoring tools to detect any suspicious child processes spawned by DbGate.
Get-Process dbgate | Select-Object ProcessName, Id, CPU, WorkingSet• generic web: Examine DbGate web server access logs for requests containing SVG content with potentially malicious attributes. Look for patterns like <svg onload= or <svg onmouseover=.
grep '<svg onload=' /var/log/apache2/access.log• generic web: Check response headers for unexpected content-type values when rendering SVG icons. A properly sanitized SVG should be served with a image/svg+xml content type.
curl -I https://your-dbgate-instance/icons/malicious.svg | grep Content-Typedisclosure
Statut de l'Exploit
EPSS
0.02% (percentile 6%)
CISA SSVC
Vecteur CVSS
L'atténuation principale de la CVE-2026-34725 consiste à mettre à niveau vers la version 7.1.5 de DbGate ou supérieure. Cette version inclut une correction qui désinfecte les chaînes de caractères d'icônes SVG avant de les rendre, empêchant l'injection de code malveillant. De plus, examinez les politiques de sécurité de l'application Electron, en particulier la configuration de nodeIntegration et contextIsolation. Désactiver nodeIntegration et activer contextIsolation peut réduire considérablement le risque d'exécution de code local si la vulnérabilité est exploitée. La mise en œuvre de pratiques de sécurité en profondeur et la surveillance de l'activité de l'application sont également recommandées.
Actualice DbGate a la versión 7.1.5 o superior. Esta versión corrige la vulnerabilidad XSS almacenada en la configuración de applicationIcon, que podría permitir la ejecución remota de código en la aplicación Electron. La actualización mitiga el riesgo de que un atacante explote esta vulnerabilidad.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
C'est un type de vulnérabilité qui permet à un attaquant d'injecter du code malveillant dans un site web, qui s'exécute ensuite dans les navigateurs des autres utilisateurs.
En raison de la configuration de nodeIntegration et contextIsolation, le code malveillant peut accéder aux ressources du système d'exploitation, permettant l'exécution de code local.
Mettez en œuvre des mesures de sécurité supplémentaires, telles que la restriction de l'accès à l'application et la surveillance de l'activité du réseau.
Des outils d'analyse de sécurité peuvent détecter les vulnérabilités XSS, mais il est important d'effectuer des tests d'intrusion manuels pour confirmer l'existence et l'impact de la vulnérabilité.
nodeIntegration permet au code JavaScript de la page web d'accéder aux API Node.js. contextIsolation isole le code JavaScript de la page web du code Node.js, améliorant la sécurité.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.