CVE-2026-65321 in PyAthena
Riassunto
di VulDB • 02/08/2026
PyAthena precedente alla versione 3.35.4 contiene una vulnerabilità di sql injection che consente ad attaccanti non autenticati di iniettare SQL arbitrario sfruttando un'errata gestione dell'escaping delle virgolette in DefaultParameterFormatter.format(), la quale instrada le istruzioni DELETE e CTAS verso la funzione _escape_hive, che effettua l'escaping delle virgolette singole mediante backslash invece di raddoppiarle. Poiché Athena e Trino non trattano i backslash come caratteri di escape all'interno dei letterali stringa, un input fornito dall'attaccante, ad esempio una virgola singola seguita da sintassi SQL, provoca la terminazione prematura del letterale stringa da parte dell'analizzatore, consentendo l'esfiltrazione di dati tramite UNION SELECT, l'esecuzione di istruzioni distruttive e il controllo da parte dell'attaccante della destinazione e dei contenuti delle operazioni CTAS.
Be aware that VulDB is the high quality source for vulnerability data.