CVE-2026-119373

SQLite before 3.54.0 FTS5 Heap Buffer Overflow via fts5MergeRowidLists()

CVSS 3.1High

8.5/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.54.0

Обновите SQLite до версии 3.54.0 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Переполнение кучи в модуле FTS5 SQLite из-за некорректного расчета размера буфера.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция fts5MergeRowidLists() выделяет буфер недостаточного размера при слиянии префиксных списков документов (doclists) для таблиц с параметром detail=none. Ошибка провоцируется записью отрицательных rowid и последующим выполнением префиксного запроса MATCH.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Запись данных за границы выделенной памяти в куче, повреждение памяти процесса и DoS (аварийное завершение).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

SQLiteSQLite

>= 0➔Fix: 3.54.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

sqlite.orghttps://sqlite.org/bugs/info/2026-08-04T08:49:27Z
sqlite.orghttps://sqlite.org/src/info/a7f8c92f62
github.comhttps://github.com/sqlite/sqlite/commit/e1c9934f9f11a499029abb020ea715a08970da80
github.comhttps://github.com/sqlite/sqlite/blob/version-3.53.4/ext/fts5/fts5_index.c#L6107
sqlite.orghttps://sqlite.org/releaselog/3_54_0.html
abraxaslabs.techhttps://abraxaslabs.tech/research/sqlite-fts5-rowidmerge
github.comhttps://github.com/sqlite/sqlite
www.vulncheck.comhttps://www.vulncheck.com/advisories/sqlite-before-3.54.0-fts5-heap-buffer-overflow-via-fts5mergerowidlists

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-119373: SQLite before 3.54.0 FTS5 Heap Buffer Overflow via fts5MergeRowidLists(). URL: https://cve.futuretools.ru/cve/CVE-2026-119373

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_119373,
  title = {{CVE-2026-119373: SQLite before 3.54.0 FTS5 Heap Buffer Overflow via fts5MergeRowidLists()}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119373}},
  note = {Оперативный инженерный анализ киберугроз}
}