CVE-2026-41490 in dagster
Zusammenfassung
von VulDB • 22.05.2026
Dagster ist eine Orchestrierungsplattform für die Entwicklung, Produktion und Beobachtung von Datenassets. Vor Dagster Core Version 1.13.1 und vor Dagster-Bibliotheken Version 0.29.1 erstellten die DuckDB-, Snowflake-, BigQuery- und DeltaLake-I/O-Manager SQL-WHERE-Klauseln, indem sie dynamische Partitionsschlüsselwerte ohne Escaping direkt in Abfragen interpolierten. Ein Benutzer mit der Berechtigung „Add Dynamic Partitions“ konnte einen Partitionsschlüssel erstellen, der beliebiges SQL injiziert, das dann unter den Anmeldeinformationen des I/O-Managers gegen das Ziel-Datenbank-Backend ausgeführt wird. Nur Bereitstellungen, die dynamische Partitionen verwenden, sind betroffen. Pipelines, die statische oder Zeitfenster-Partitionen verwenden, sind nicht betroffen. Dieses Problem wurde in Dagster Core Version 1.13.1 und Dagster-Bibliotheken Version 0.29.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.