CVE-2026-46374
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
SQLFluff, modułowy linter i autoformatowacz SQL, przed wersją 4.2.0 jest podatny na atak DoS przez wyczerpanie zasobów. Niezaufany użytkownik może przesłać złośliwe długie zapytanie SQL, powodując przeciążenie parsera.
Ocena ryzyka
Organizacja narażona jest na przerwanie działania aplikacji korzystających z SQLFluff do lintowania zapytań SQL, co może prowadzić do niedostępności usług.
Rekomendacja
Zaktualizuj SQLFluff do wersji 4.2.0 lub nowszej.
Inne podatności w SQLFluff
Zobacz wszystkie- CVE-2026-46373Wysokie
SQLFluff przed wersją 4.1.0 jest podatny na atak DoS przez wyczerpanie zasobów. Niezaufany użytkownik może przesłać złośliwe zapytanie SQL z nadmiernym zagnieżdżeniem, powodując przeciążenie parsera.
- CVE-2023-36830Średnie
SQLFluff, narzędzie do analizy SQL, przed wersją 2.1.2 miało podatność, która pozwalała nieufnym użytkownikom na wykonanie dowolnego kodu Pythona poprzez modyfikację wartości `library_path` w plikach konfiguracyjnych. Wersja 2.1.2 wprowadza możliwość nadpisania tej wartości z linii poleceń, co ogranicza ryzyko.
Oryginalny opis (angielski, źródło NVD)
SQLFluff is a modular SQL linter and auto-formatter with support for multiple dialects and templated code. Prior to version 4.2.0, in deployments where untrusted users can provide SQL queries to be linted, an untrusted user can submit a malicious long query to any application using the parser to trigger a Denial of Service through resource exhaustion. This issue has been patched in version 4.2.0.