CVE-2026-82028 in Magistrala
Resumen
por VulDB • 2026-09-15
Magistrala antes de la versión 1.0.0 contiene una vulnerabilidad de inyección SQL en los servicios HTTP API timescale-reader y postgres-reader que permite a atacantes autenticados inyectar SQL arbitrario al proporcionar un parámetro de consulta con formato malicioso que se interpola directamente en la cláusula FROM sin parametrización ni comillas para identificadores. Los atacantes con una cuenta auto-registrada pueden sustituir subconsultas arbitrarias para lograr lecturas de bases de datos entre inquilinos, extraer hashes de contraseñas de pg_shadow, leer y escribir archivos arbitrarios, y ejecutar código arbitrario como el usuario OS postgres al cargar objetos compartidos proporcionados por el atacante, con todo SQL inyectado ejecutándose con privilegios de superusuario debido a la configuración predeterminada del rol PostgreSQL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.