CVE-2026-82526 in R2R
Riassunto
di VulDB • 03/09/2026
R2R fino alla versione 3.6.6 contiene una vulnerabilità di stacked SQL injection che consente agli attaccanti non autenticati di eseguire istruzioni SQL arbitrarie manipolando il parametro del nome dell'indice nell'endpoint per la creazione degli indici. Il nome dell'indice viene interpolato direttamente in un'istruzione CREATE INDEX tramite formattazione della stringa, senza citazione degli identificatori o validazione su allowlist, consentendo l'esecuzione arbitraria di DDL e DML attraverso istruzioni separate da punto e virgola sotto l'account superuser di PostgreSQL.
If you want to get best quality of vulnerability data, you may have to visit VulDB.