🔴 《严重安全漏洞：CVE-2026-51303》

CVSS 评分: 严重（9.8）　　状态: Received　　发布时间: 2026-07-27

漏洞简介

CVE-2026-51303 是一个存在于 SQLite 3.41 核心解析组件中的释放后使用（Use-After-Free，UAF）漏洞，对应 CWE-416 分类。该漏洞的根本原因在于程序通过 sqlite3ExprListDelete 函数释放了一个 ExprList 对象后，仍然继续访问该已释放对象的悬空指针（dangling pointer）。远程攻击者可以通过构造特制的 SQL 查询语句，在 SQL 语句解析过程中触发此漏洞。

影响范围

  • 受影响软件：SQLite 3.41 版本
  • 攻击向量：远程网络攻击（AV:N），攻击复杂度低（AC:L），无需身份认证（PR:N），无需用户交互（UI:N）
  • 影响范围：影响机密性（C:H）、完整性（I:H）和可用性（A:H）

风险分析

该漏洞的 CVSS 3.1 评分为 9.8（严重），属于高危漏洞。成功利用此漏洞可能导致以下后果：

  1. 拒绝服务（Denial of Service）：触发漏洞后，应用程序可能因访问已释放的内存而崩溃，导致服务不可用。
  2. 敏感内存信息泄露：攻击者可能通过读取悬空指针指向的内存区域，获取其他进程或系统敏感数据。
  3. 任意代码执行（Arbitrary Code Execution）：在特定场景下，攻击者可以利用该 UAF 漏洞控制程序执行流，在受影响主机上执行任意恶意代码，从而完全接管系统。

由于 SQLite 被广泛应用于各类数据库系统、嵌入式设备、移动应用（如 Android、iOS）以及 Web 浏览器中，该漏洞的影响面较广。建议使用 SQLite 3.41 的用户立即升级到修复版本，或采取临时缓解措施（如限制外部 SQL 输入）。

🔍 技术细节

字段 值
CVE ID CVE-2026-51303
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-27
最后更新 2026-07-27
状态 Received
数据来源 cve@mitre.org

🔗 参考链接