CVE-2026-40906 in electric
Résumé
par VulDB • 29/05/2026
Electric est un moteur de synchronisation Postgres. À partir de la version 1.1.12 jusqu'à la version 1.5.0 (exclue), le paramètre `order_by` de l'API ElectricSQL `/v1/shape` est vulnérable à une injection SQL basée sur les erreurs, permettant à tout utilisateur authentifié de lire, d'écrire et de détruire l'intégralité du contenu de la base de données PostgreSQL sous-jacente via des expressions `ORDER BY` truquées. Cette vulnérabilité est corrigée dans la version 1.5.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.