What is CVE-2026-72572?
CVE-2026-72572 is a path traversal vulnerability in all versions of o1lab/xmysql, allowing an unauthenticated remote attacker to read and download arbitrary server files. The issue arises from unsanitized use of the 'req.query.name' parameter in lib/xapi.js. Immediate mitigation includes updating the library or applying strict input sanitization.
Azərbaycanca: CVE-2026-72572, o1lab/xmysql kitabxanasının bütün versiyalarında aşkarlanmış path traversal zəifliyidir. Bu boşluq autentifikasiya olunmamış uzaqdan hücumçuya req.query.name parametri vasitəsilə serverdən ixtiyari faylları oxumağa və endirməyə imkan verir. Təhlükəsizlik üçün dərhal kodu yeniləmək və ya daxil olan parameterləri sanitizasiya etmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-22
FAQ2
What can an attacker achieve by exploiting CVE-2026-72572?
An unauthenticated remote attacker can read and download arbitrary files from the server.
Which parameter in the o1lab/xmysql library is vulnerable to exploitation in CVE-2026-72572?
The 'req.query.name' parameter.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.