CVE-2026-65321 in PyAthena
Sumário
de VulDB • 02/08/2026
O PyAthena anterior à versão 3.35.4 contém uma vulnerabilidade de injeção de SQL que permite a atacantes não autenticados injetar comandos SQL arbitrários ao explorar o tratamento inadequado do escape aspas na função `DefaultParameterFormatter.format()`, que encaminha instruções DELETE e CTAS para a função `_escape_hive`. Esta função realiza o escape de aspas simples usando barra invertida, em vez de duplicá-las. Como Athena e Trino não tratam barras invertidas como caracteres de escape dentro de literais de string, entradas fornecidas pelo atacante, como uma aspa simples seguida por sintaxe SQL, fazem com que o analisador (parser) termine prematuramente o literal de string, permitindo a exfiltração de dados via UNION SELECT, execução de instruções destrutivas e controle do destino e conteúdo das operações CTAS pelos atacantes.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.