8.5
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се локално, без особени условия, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
SQLite command-line shell through 3.54.1 contains a command injection vulnerability in the .recover command that emits attacker-planted dot-commands stored in sqlite_schema.sql values verbatim. Attackers can craft a database whose schema holds a valid CREATE statement followed by a .shell or .system line, executing OS commands when victims pipe .recover output into sqlite3.
Засегнати продукти
- SQLite SQLite: до 3.54.1
Вид слабост
История
- 30 октомври 2026 Публикувано
Други уязвимости в SQLite SQLite
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-119586
- https://nvd.nist.gov/vuln/detail/CVE-2026-119586
- https://github.com/sqlite/sqlite/blob/version-3.54.1/ext/recover/sqlite3recover.c#L1221-L1223
- https://github.com/sqlite/sqlite/blob/version-3.54.1/src/shell.c.in#L7877-L7891
- https://abraxaslabs.tech/research/sqlite-cli-recover
- https://github.com/sqlite/sqlite
- https://www.vulncheck.com/advisories/sqlite-cli-through-3.54.1-command-injection-via-recover-output