CVE-2026-45288
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W bibliotece Marten dla .NET wykryto podatność na iniekcję SQL w API wyszukiwania pełnotekstowego. Parametr regConfig podawany przez użytkownika był bezpośrednio interpolowany do zapytania SQL bez parametryzacji lub walidacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnych zapytań SQL na bazie danych PostgreSQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Marten do wersji 8.36.1 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Marten is a .NET Transactional Document DB and Event Store on PostgreSQL. Prior to 8.36.1, Marten's full-text search APIs interpolated the user-supplied regConfig parameter directly into the generated SQL without parameterization or validation, making every code path that exposes regConfig to untrusted input a SQL injection sink. This vulnerability is fixed in 8.36.1.