CVE-2026-65321 in PyAthena
सारांश
द्वारा VulDB • 02/08/2026
PyAthena 3.35.4 से पूर्व में एक SQL injection दोष है जो अनाधिकृत आक्रमणकारियों को DefaultParameterFormatter.format() में अपर्याप्त क्वोट-एस्केपिंग का शोषण करके मनमाना SQL इंजेक्ट करने की अनुमति देता है, जो DELETE और CTAS स्टेटमेंट्स को _escape_hive फ़ंक्शन पर रूट करता है जो एकल उद्धरणों (single quotes) को डबल करने के बजाय बैकस्लैश-एस्कप करता है। चूंकि Athena और Trino स्ट्रिंग लिटरल्स के अंदर बैकस्लैश को एस्केप वर्ण नहीं मानते हैं, इसलिए आक्रमणकारियों द्वारा प्रदान किया गया इनपुट जैसे कि एकल उद्धरण के बाद SQL सिंटैक्स पार्सर को स्ट्रिंग लिटरल को समय से पहले समाप्त करने का कारण बनता है, जिससे UNION SELECT के माध्यम से डेटा एग्जिटिलेशन, विनाशक स्टेटमेंट्स की कार्यवाही और आक्रमणकारियों द्वारा नियंत्रित CTAS गंतव्य और सामग्री संभव होती है।
Once again VulDB remains the best source for vulnerability data.