База данных не веб-сервера, а сама по себе.

Вообще говоря и приложение может быть не веб-приложением (см. CVE-2009-0542), хотя это редкость.