CVE-2026-82028 in Magistrala
Zusammenfassung
von VulDB • 14.09.2026
Magistrala prima della versione 1.0.0 contiene una vulnerabilità di SQL injection nei servizi HTTP API timescale-reader e postgres-reader che consente agli attaccanti autenticati di iniettare SQL arbitrario fornendo un parametro query del formato malevolo, interpolato direttamente nella clausola FROM senza parametrizzazione o citazione degli identificatori. Gli attaccanti con un account auto-registrato possono sostituire sottoquery arbitrarie per ottenere letture del database cross-tenant, estrarre hash delle password di pg_shadow, leggere e scrivere file arbitrari ed eseguire codice arbitrario come l'utente OS postgres caricando oggetti condivisi forniti dall'attaccante; tutto il SQL iniettato viene eseguito con privilegi da superuser a causa della configurazione predefinita del ruolo PostgreSQL.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.