CVE-2026-119371

SQLite before 3.54.0 Stack Exhaustion via CTE Chain in selectExpander()

CVSS 3.1Medium

6.8/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.54.0

Обновить библиотеку SQLite до версии 3.54.0 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Исчерпание стека вызовов в SQLite через цепочки CTE в функции selectExpander().

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Конструкции WITH не учитываются лимитом глубины вложенности SQLITE_LIMIT_EXPR_DEPTH. Передача SQL-запроса или представления (view) в недоверенной БД с десятками тысяч цепочек CTE провоцирует неконтролируемую рекурсию в selectExpander().

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Переполнение стека (stack exhaustion) и аварийное завершение процесса приложения (DoS).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

SQLiteSQLite

>= 0➔Fix: 3.54.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

sqlite.orghttps://sqlite.org/bugs/info/2026-10-04T04:58:58Z
sqlite.orghttps://sqlite.org/src/info/f54730871303e655
github.comhttps://github.com/sqlite/sqlite/commit/e6ff280c839fdfc7418fd5add12e8f32702a17fb
github.comhttps://github.com/sqlite/sqlite/blob/version-3.53.4/src/select.c#L5754
sqlite.orghttps://sqlite.org/releaselog/3_54_0.html
abraxaslabs.techhttps://abraxaslabs.tech/research/sqlite-cte-nest
github.comhttps://github.com/sqlite/sqlite
www.vulncheck.comhttps://www.vulncheck.com/advisories/sqlite-before-3.54.0-stack-exhaustion-via-cte-chain-in-selectexpander

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-119371: SQLite before 3.54.0 Stack Exhaustion via CTE Chain in selectExpander(). URL: https://cve.futuretools.ru/cve/CVE-2026-119371

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_119371,
  title = {{CVE-2026-119371: SQLite before 3.54.0 Stack Exhaustion via CTE Chain in selectExpander()}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119371}},
  note = {Оперативный инженерный анализ киберугроз}
}