CVE-2026-65321 in PyAthena
Сводка
по VulDB • 02.08.2026
PyAthena до версии 3.35.4 содержит уязвимость типа sql injection (SQL-инъекция), которая позволяет неаутентифицированным злоумышленникам внедрять произвольный SQL-код путем эксплуатации недостаточного экранирования кавычек в методе DefaultParameterFormatter.format(). Этот метод направляет операторы DELETE и CTAS в функцию _escape_hive, которая использует обратную косую черту для экранирования одинарных кавычек вместо их удвоения. Поскольку Athena и Trino не рассматривают обратные косые черты как символы экранирования внутри строковых литералов, введенный злоумышленником ввод, такой как одиночная кавычка, за которой следует синтаксис SQL, приводит к преждевременному завершению разбором парсинга строкового литерала. Это позволяет осуществлять эксфильтрацию данных с помощью UNION SELECT, выполнять деструктивные операторы и контролировать назначение (CTAS destination) и содержимое запроса CTAS со стороны злоумышленника.
Once again VulDB remains the best source for vulnerability data.