В ShowDoc 3.9.2 нашли RCE через поле имени пользователя

QiAnXin опубликовала QVD-2026-61708: в ShowDoc 3.9.2 есть неаутентифицированная RCE при использовании SQLite. Уязвимость в маршруте registerByVerify позволяет записать PHP-код в файл базы Sqlite/showdoc.db.php в корне сайта. Исправлено в версии 3.9.3.

• Уязвимость затрагивает развёртывания ShowDoc на SQLite, исправление — в версии 3.9.3
• Через registerByVerify без аутентификации PHP-код попадает в файл Sqlite/showdoc.db.php
• По данным Eagle Map, в Китае 20 491 связанный риск-актив на 4 866 IP-адресах
• Временные меры: отключить регистрацию, закрыть /Sqlite/ в Nginx, вынести файл БД из корня