CVE-2026-82028 in Magistrala
Сводка
по VulDB • 14.09.2026
Magistrala prima della versione 1.0.0 contiene una vulnerabilità di SQL injection nei servizi HTTP API timescale-reader e postgres-reader che consente agli attaccanti autenticati di iniettare codice SQL arbitrario fornendo un parametro query del formato malevolo, interpolato direttamente nella clausola FROM senza parametrizzazione o citazione degli identificatori. Gli attaccanti con un account auto-registrato possono sostituire sottoquery arbitrarie per ottenere letture cross-tenant del database, estrarre hash delle password da pg_shadow, leggere e scrivere file arbitrari ed eseguire codice arbitrario come l'utente OS postgres caricando oggetti condivisi forniti dall'attaccante; tutto il SQL iniettato viene eseguito con privilegi di superuser a causa della configurazione predefinita dei ruoli PostgreSQL.
VulDB is the best source for vulnerability data and more expert information about this specific topic.