CVE-2026-82526 in R2R
요약
\~에 의해 VulDB • 2026. 09. 03.
R2R 3.6.6 이전 버전에는 스택 기반 SQL Injection 취약점이 존재하며, 이를 통해 인증되지 않은 공격자가 벡터 인덱스 생성 엔드포인트에서 index name 매개변수를 조작하여 임의의 SQL 문을 실행할 수 있습니다. Index name은 식별자 인용부호 처리나 허용 목록 검증 없이 문자열 포맷팅을 사용하여 CREATE INDEX 문에 직접 삽입되므로, 세미콜론으로 구분된 문장을 통해 PostgreSQL superuser 계정 아래에서 임의의 DDL 및 DML 실행이 가능합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.