PT-2026-46313 · Sqlite · Sqldiff.Exe

Vincent55 · Publicado 2026-06-04 · Atualizado 2026-06-11 · CVE-2025-71316

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas SQLite sqldiff.exe versões anteriores a 2025-12-26

Descrição O utilitário sqldiff.exe não lida de forma segura com a conversão de caracteres Unicode para codepages ANSI realizada pelo runtime C do Microsoft Windows. Um invasor pode explorar isso utilizando a opção '-L' com uma string de argumento de linha de comando especialmente criada, fazendo com que argumentos de arquivo sejam interpretados incorretamente como opções de linha de comando, resultando no carregamento de uma DLL (Dynamic Link Library, um arquivo contendo código e dados que pode ser usado por mais de um programa simultaneamente) arbitrária.

Recomendações Atualize para a versão lançada por volta de 2025-12-26.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-176

Identificadores relacionados

CVE-2025-71316

Produtos afetados

Sqldiff.Exe

Referências · 10

• 🔥 https://i.blackhat.com/EU-24/Presentations/EU-24-Tsai-V2-WorstFit-Unveiling-Hidden-Transformers-in-Windows-ANSI.pdf · Exploit
• https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-155-01.json · Nota
• https://twitter.com/VulmonFeeds/status/2062702054087270908 · Publicação no Twitter
• https://learn.microsoft.com/en-us/windows/win32/api/processenv/nf-processenv-getcommandlinea#security-remarks · Nota
• https://t.me/CVEtracker/55857 · Publicação no Telegram
• https://sqlite.org/src/file/tool/winmain.c · Correção
• https://t.me/cveNotify/166207 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-71316 · Nota de Segurança
• https://twitter.com/SecAlertsCo/status/2065126291737612573 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2025-71316 · Nota de Segurança