JVNDB-2025-023625

 ClideyのWhoDBにおける複数の脆弱性

WhoDBはオープンソースのデータベース管理ツールです。アプリケーションは、ディレクトリ「/db」に存在するSqlite3データベースのみを表示しますが、パストラバーサル防止策が実装されていません。そのため、認証されていない攻撃者は、アプリケーションが稼働しているホストマシン上に存在する任意のSqlite3データベースを開くことができます。影響を受けるバージョンのWhoDBでは、ユーザーはSqlite3データベースへ接続できます。デフォルトでは、データベースは「/db/」、または開発モードが有効な場合は「./tmp/」に存在しなければなりません。デフォルトディレクトリにデータベースが存在しない場合、UIはユーザーがデータベースを開けないことを示します。データベースファイル名はユーザーが制御可能です。この値はデフォルトディレクトリと「.Join()」で連結され、開くべきデータベースファイルのフルパスが生成されます。しかし、最終的に開かれるデータベースファイルが本当にデフォルトディレクトリ「/db」に存在するかどうか確認されません。その結果、攻撃者はパストラバーサル（例：「../../」）を利用して、システム上の任意のSqlite3データベースを開くことが可能です。この問題はバージョン0.45.0で修正されており、すべてのユーザーはアップグレードすることが推奨されます。この脆弱性に対する既知の回避策はありません。

Clidey

• WhoDB 0.45.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Path traversal opening Sqlite3 database  Advisory  clidey/whodb  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. パストラバーサル (.../...//)(CWE-35) [その他]

1. CVE-2025-24786

1. National Vulnerability Database (NVD) : CVE-2025-24786
2. 関連文書 : whodb/core/src/plugins/sqlite3/db.go at ba6eb81d0ca40baead74bca58b2567166999d6a6  clidey/whodb  GitHub (https://github.com/clidey/whodb/blob/ba6eb81d0ca40baead74bca58b2567166999d6a6/core/src/plugins/sqlite3/db.go#L26)
3. 関連文書 : whodb/core/src/plugins/sqlite3/db.go at ba6eb81d0ca40baead74bca58b2567166999d6a6  clidey/whodb  GitHub (https://github.com/clidey/whodb/blob/ba6eb81d0ca40baead74bca58b2567166999d6a6/core/src/plugins/sqlite3/db.go#L14-L20)

• [2026年01月06日]
    掲載