Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-118378

Tabularis SQLite sürücüsünde MCP describe_table aracı üzerinden SQL enjeksiyonu

TabularisDB tabularis

Yüksek 7,8 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, veritabanlarındaki verilerin okunmasına, değiştirilmesine veya silinmesine yol açabilir ve yazma onayı gibi güvenlik önlemlerini aşabilir. İş riski yüksektir ve etkilenen sistemlerin hızla güncellenmesi gerekir.

ÖzetTürkçe

Tabularis'in 0.28.0 öncesi sürümlerinde, SQLite sürücüsü table_name parametresini güvenli biçimde işlemediği için SQL enjeksiyonu açığı bulunmaktadır. MCP istemcileri, özel hazırlanmış bir table_name değeri ile describe_table aracını çağırarak birden fazla SQL ifadesini art arda çalıştırabilir. Etkilenen sürümler 0.10.0 ile 0.28.0 öncesi arasındadır.

Saldırgan ne yapabilir?

Saldırgan, SQLite verilerini okuyabilir, değiştirebilir veya silebilir; salt okunur mod ve yazma onayı gibi korumaları atlayabilir. Yapay zeka ajanları da güvenilmeyen içerik tarafından yönlendirilerek bu saldırıyı tetikleyebilir.

Kaynaktaki açıklama (İngilizce)

Tabularis before 0.28.0 contains an SQL injection vulnerability in its SQLite driver that allows MCP clients to execute stacked statements by supplying a crafted table_name to the describe_table tool. Attackers, including AI agents steered by untrusted content, can close the quoted PRAGMA argument and append statements to read, modify, or drop SQLite data, bypassing read-only mode and write approval.

Ne yapmalı?

  1. Tabularis uygulamasını 0.28.0 veya sonraki bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar MCP üzerinden erişimi olan istemcileri ve yapay zeka ajanlarını devre dışı bırakın ya da kısıtlayın. Genel öneri
  3. Güncelleme sonrasında SQLite veritabanlarında beklenmeyen değişiklik, silme veya yeni tablo olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • MCP araçlarına gönderilen tablo adı gibi parametreleri izleyin ve olağan dışı karakter içeren istekleri inceleyin. Genel öneri
  • Veritabanı dosyalarına yalnızca gerekli işlem hesaplarıyla erişim sağlayın ve dosya izinlerini en aza indirin. Genel öneri
  • Veritabanı yedeklerini düzenli alın ve geri yükleme işlemini test edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
TabularisDB tabularis ≥ 0.10.0, < 0.28.0 0.28.0

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.