Summary
Vulnerability in sqlite (CVE-2026-11824). Successful exploitation can lead to full system takeover. Mitigation: upgrade to 3.53.2 or later.
Original description
The description as published by the source.
SQLite before 3.53.2 contains a heap-based buffer overflow vulnerability in the FTS5 full-text search extension that allows attackers to cause a crash or execute arbitrary code by supplying a crafted database with malicious continuation page metadata specifying a szLeaf value smaller than 4. Attackers can trigger an integer underflow in fts5ChunkIterate() causing an inflated remaining byte count during FTS5 MATCH query processing, leading to a heap buffer overflow of attacker-controlled data in applications compiled with SQLITE_ENABLE_FTS5.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
SQLiteのバージョン3.53.2以前には、FTS5フルテキスト検索機能にヒープベースのバッファオーバーフローの脆弱性が存在します。この脆弱性により、攻撃者は細工されたデータベースを使用して、クラッシュを引き起こすか、任意のコードを実行する可能性があります。
SQLiteのFTS5フルテキスト検索機能におけるヒープベースのバッファオーバーフローの脆弱性。
SQLite 3.53.2以前。
攻撃者によるクラッシュや任意のコードの実行が可能。
SQLiteをバージョン3.53.2にアップデートする。
情報なし
SQLiteのバージョンを確認し、FTS5を有効にしているアプリケーションを検査する。
Affected packages
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Alpine Linux ALPINE-CVE-2026-11824 sqlite Fixed in: 3.53.4-r0
- BellSoft Alpaquita BELL-CVE-2026-11824 sqlite Fixed in: 3.53.2-r0
- Debian DEBIAN-CVE-2026-11824 sqlite3
- Ubuntu UBUNTU-CVE-2026-11824 sqlite
References
- advisory vulncheck.com
- patch sqlite.org
- patch sqlite.org
- web sqlite.org
- web nvd.nist.gov
- web github.com
- web cert-portal.siemens.com