RUSTSEC-2026-0459: `libsqlite3-sys` via C SQLite CVE-2026-119375

Abierto Apto para principiantes
  • ¿Algo no está bien?
#3,661 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
65/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
rust, sqlite
Área
databases, security

Línea de trabajo

Empieza revisando las declaraciones de dependencias y el archivo de bloqueo del repositorio para encontrar libsqlite3-sys y rusqlite; después, identifica si la compilación habilita SQLite integrado o SQLCipher integrado. El aviso indica que las versiones integradas afectadas están corregidas en libsqlite3-sys 0.39.0 o posterior, mientras que SQLCipher integrado aún puede incluir una versión de SQLite afectada. El trabajo estará terminado cuando la configuración de dependencias y el archivo de bloqueo del repositorio usen una versión segura o documenten claramente cualquier exposición restante.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

libsqlite3-sys via C SQLite CVE-2026-119375

Details
Package libsqlite3-sys
Version 0.30.1
URL https://nvd.nist.gov/vuln/detail/CVE-2026-119375
Date 2026-10-30
Patched versions >=0.39.0
Unaffected versions <0.6.0

SQLite versions before 3.54.0 can return uninitialized page-cache memory when a process opens a database file together with a sibling write-ahead-log (-wal) file whose page size differs from the database's. A crafted pair of files can make ordinary queries return stale bytes from the process's memory. The attack vector is local and needs the victim to open the files.

As libsqlite3-sys bundles SQLite when it is built from its bundled source (the bundled feature, which rusqlite's bundled feature enables), it is susceptible to the vulnerability. The releases 0.6.0 to 0.38.2 bundle SQLite 3.13.0 to 3.53.2 and are affected; the earlier releases contain no SQLite source. libsqlite3-sys was updated to bundle the patched version of SQLite in 0.39.0 (SQLite 3.54.0) and 0.39.1 (SQLite 3.54.1), released with rusqlite 0.41. libsqlite3-sys 0.39 declares Rust 1.88 and rusqlite 0.41 declares Rust 1.89.

Only a process that opens a database file, with its -wal, that a less trusted party could have written is exposed. A build that links a system SQLite instead of the bundled source is not affected by the copy in this crate; its exposure is that of the system library's version. The bundled-sqlcipher feature builds SQLCipher instead of SQLite; in 0.39.0 and 0.39.1 it depends on sqlcipher-src =419.0.6, which bundles SQLite 3.53.4 and is affected.

See advisory page for additional details.

Lenguaje dominante
Rust
Estrellas
1.4k
Forks
628
Merge medio
3 d 3 h
PR fusionados (30 d)
79

Preparar el entorno

Abrir en Codespaces

Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de apache/iceberg-rust

Todos los issues de apache/iceberg-rust

Issues similares

Más issues de Rust

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.