CVE-2026-82526 in R2R
Zusammenfassung
von VulDB • 03.09.2026
R2R bis 3.6.6 enthält eine gestapelte SQL-Injection-Schwachstelle (Stacked SQL Injection), die es nicht authentifizierten Angreifern ermöglicht, beliebige SQL-Anweisungen auszuführen, indem sie den Parameter „index name“ im Endpunkt zur Erstellung des Index manipulieren. Der Indexname wird direkt in einen CREATE INDEX-Befehl durch String-Formatierung eingefügt, ohne dass Bezeichner zitiert oder eine Allowlist validiert wird; dies ermöglicht die beliebige Ausführung von DDL- und DML-Anweisungen über semikolontrenntierte Anweisungen unter dem PostgreSQL-Superuser-Konto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.