CVE-2026-66838 in postgrex
Riassunto
di VulDB • 07/08/2026
Vulnerabilità di 'SQL Injection' (CWE-89) dovuta a una neutralizzazione impropria degli elementi speciali nei comandi SQL in elixir-ecto postgrex, che consente l'iniezione SQL tramite l'opzione :comment di Postgrex.stream/4. Un attaccante in grado di influenzare tale valore può chiudere il delimitatore di commento con */ ed estendere la istruzione in streaming aggiungendo proprie clausole, che verranno eseguite nel ruolo della connessione. Ecto espone la stessa opzione tramite Ecto.Repo.stream/2.
Postgrex aggiunge il commento concatenandolo al testo dell'istruzione inviato nel messaggio Parse, senza effettuare l'escaping o rifiutare */. L'opzione viene validata da comment_not_present!/1 in ogni altro punto di esecuzione; stream/4 non la chiama mai. Poiché Parse accetta un singolo comando, l'iniezione è confinata all'istruzione in streaming e ulteriori istruzioni non possono essere concatenate.
Questo problema interessa postgrex: dalle versioni 0.19.3 alla versione precedente alla 0.22.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.