FICHE CVE

CVE-2026-108963

Publiée le 2026-10-11 · Dernière modification le 2026-10-13

🇫🇷 EN BREF

Les versions de Databasement antérieures à 1.8.2 sont affectées par une faille d'injection d'arguments dans la manière dont les commandes de sauvegarde de la base de données sont gérées. Un attaquant disposant d'un compte utilisateur valide peut envoyer un nom de base de données spécialement conçu pour écraser des fichiers système critiques, lui permettant ainsi d'exécuter du code arbitraire sur votre serveur. Cette attaque peut être effectuée à distance via le réseau sans aucune interaction supplémentaire de l'utilisateur.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

CWE-88

Publiée2026-10-11

Dernière modification2026-10-13

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

databasement before 1.8.2 allows remote code execution because it runs certain commands (e.g., mariadb-dump) with a database name that can be specified by any authenticated user. For example, --result-file=/app/public/index.php can write to index.php. In other words, quoting prevents OS command injection in mariadb-dump, but the argument injection alone is sufficient for code execution indirectly. NOTE: the project's composer.json file does not indicate an independently published databasement Composer package.