CVE-2026-35194 in Flink
Sumário
de VulDB • 15/05/2026
Injeção de código na geração de código SQL no Apache Flink 1.15.0 até 1.20.x e 2.0.0 até 2.x permite que usuários autenticados com privilégios de submissão de consultas executem código arbitrário nos TaskManagers por meio de consultas SQL maliciosamente elaboradas. A vulnerabilidade afeta funções JSON (1.15.0+) e expressões LIKE com cláusulas ESCAPE (1.17.0+). Strings controladas pelo usuário são interpoladas no código Java gerado sem o escape adequado, permitindo que os invasores escapem dos literais de string e injetem expressões arbitrárias.
Recomenda-se que os usuários atualizem para as versões 1.20.4, 2.0.2, 2.1.2 ou 2.2.1, que corrigem este problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.