CVE-2026-46373
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
SQLFluff przed wersją 4.1.0 jest podatny na atak DoS przez wyczerpanie zasobów. Niezaufany użytkownik może przesłać złośliwe zapytanie SQL z nadmiernym zagnieżdżeniem, powodując przeciążenie parsera.
Ocena ryzyka
Organizacja narażona jest na przerwanie działania aplikacji korzystających z SQLFluff do lintowania zapytań SQL, co może prowadzić do niedostępności usług.
Rekomendacja
Zaktualizuj SQLFluff do wersji 4.1.0 lub nowszej.
Inne podatności w SQLFluff
Zobacz wszystkie- CVE-2026-46374Wysokie
SQLFluff, modułowy linter i autoformatowacz SQL, przed wersją 4.2.0 jest podatny na atak DoS przez wyczerpanie zasobów. Niezaufany użytkownik może przesłać złośliwe długie zapytanie SQL, powodując przeciążenie parsera.
- CVE-2023-36830Średnie
SQLFluff, narzędzie do analizy SQL, przed wersją 2.1.2 miało podatność, która pozwalała nieufnym użytkownikom na wykonanie dowolnego kodu Pythona poprzez modyfikację wartości `library_path` w plikach konfiguracyjnych. Wersja 2.1.2 wprowadza możliwość nadpisania tej wartości z linii poleceń, co ogranicza ryzyko.
Oryginalny opis (angielski, źródło NVD)
SQLFluff is a modular SQL linter and auto-formatter with support for multiple dialects and templated code. Prior to version 4.1.0, in deployments where untrusted users can provide SQL queries to be linted, an untrusted user can submit a malicious query with deliberate excessive nesting to any application using the parser to trigger a Denial of Service through resource exhaustion. This issue has been patched in version 4.1.0.