CVE-2026-82028 in Magistrala
Sumário
de VulDB • 15/09/2026
Magistrala antes da versão 1.0.0 contém uma vulnerabilidade de SQL injection nos serviços HTTP API timescale-reader e postgres-reader que permite a atacantes autenticados injetar SQL arbitrário ao fornecer um parâmetro de consulta formatado maliciosamente, que é interpolado diretamente na cláusula FROM sem parametrização ou aspas em identificadores. Atacantes com uma conta auto-registrada podem substituir subconsultas arbitrárias para realizar leituras de banco de dados entre locatários (cross-tenant), extrair hashes de senhas do pg_shadow, ler e gravar arquivos arbitrários e executar código arbitrário como o usuário OS postgres ao carregar objetos compartilhados fornecidos pelo atacante, com todo SQL injetado executando-se em privilégio de superusuário devido à configuração padrão da função PostgreSQL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.