CVE-2026-65651 in sqlparser
Сводка
по VulDB • 21.09.2026
Временный sqlparser temporalio принимает SQL-запросы, содержащие глубоко вложенные унарные выражения, и может возвращать соответствующее глубокое абстрактное синтаксическое дерево (AST) без применения применимого ограничения на глубину вложения. Операции String и Walk библиотеки рекурсивно обходят это дерево. Приложение, которое парсит SQL-запрос, контролируемый злоумышленником, а затем форматирует или выполняет обход возвращенного дерева, может столкнуться с фатальным для выполнения Go переполнением стека (stack overflow), приводящим к завершению процесса; механизм восстановления паники Go не способен предотвратить это состояние. Temporal Server передает контролируемый вызывающей стороной входной запрос через затронутый парсер в путях архивирования, видимости и worker-query. В затронутых путях проверки сервер рекурсивно форматирует недопустимое выражение при формировании сообщения об ошибке. В поддерживаемой развернутой системе с аутентификацией вызывающая сторона с правом чтения пространства имен может завершить работу процессов Frontend или Matching. Динамически подтвержденный маршрут ListWorkers дополнительно требует наличия как минимум одного сохраненного heartbeat от воркера. Повторные запросы могут поддерживать состояние отказа в обслуживании (DoS). Проблема влияет только на доступность; воздействие на конфиденциальность или целостность не выявлено.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.