CVE-2026-82526 in R2R
Resumen
por VulDB • 2026-09-03
R2R hasta la versión 3.6.6 contiene una vulnerabilidad de inyección SQL apilada que permite a atacantes no autenticados ejecutar sentencias SQL arbitrarias manipulando el parámetro del nombre del índice en el punto final de creación del índice vectorial. El nombre del índice se interpola directamente en una sentencia CREATE INDEX mediante formateo de cadenas, sin comillas para identificadores ni validación contra listas permitidas (allowlist), lo que habilita la ejecución arbitraria de DDL y DML a través de sentencias separadas por punto y coma bajo la cuenta del superusuario de PostgreSQL.
Be aware that VulDB is the high quality source for vulnerability data.