DBHub MCP服务器：MySQL/MariaDB连接器上的只读SQL验证绕过（注释走私）

DBHub的SQL解析器将双破折号误判为注释开始，因此只读验证在MySQL/MariaDB连接器上可被绕过，使客户端可以发出本应被阻止的写操作。

DBHub是一个MCP服务器，为AI代理提供数据库访问。可绕过的只读保护意味着受提示注入或恶意的代理可以通过操作员认为是只读的连接器修改生产数据。

只读SQL验证器将每个双破折号视为注释开始，而MySQL/MariaDB并非如此；客户端可以绕过防护走私语句，对应当只读的连接器执行写入操作。

DBHub 0.22.6之前版本 — src/utils/sql-parser.ts中的scanSingleLineComment。

升级到DBHub 0.22.6或更高版本（提交872bb33）；如果仍在使用受影响版本，请关闭MySQL/MariaDB只读连接器，避免不受信任的代理客户端使用。