CVE-2026-76240
WysokieCVSS 7.5Streszczenie
stigmem-node 0.9.0a1 interpoluje identyfikatory schematów backendu Postgres do zapytań SQL bez odpowiedniego cytowania. W dotkniętej ścieżce kodu wartość schematu jest kontrolowana przez operatora, ale niebezpieczny wzorzec może umożliwić wstrzyknięcie SQL, jeśli nazwa schematu pochodzi z danych dzierżawcy, żądania lub użytkownika. Poprawiono w 0.9.0a2.
Ocena ryzyka
Wstrzyknięcie SQL może pozwolić atakującemu na nieautoryzowany dostęp do bazy danych, modyfikację lub usunięcie danych, co stanowi poważne zagrożenie dla poufności i integralności.
Rekomendacja
Zaktualizuj stigmem-node do wersji 0.9.0a2, która dodaje cytowanie i walidację identyfikatorów, oraz konfiguruj nazwy schematów wyłącznie z zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
stigmem-node 0.9.0a1 interpolates Postgres backend schema identifiers into SQL strings without defensive quoting. In the affected code path the schema value is operator-controlled, but the unsafe pattern could allow SQL injection if a schema name were derived from tenant, request, or user input. Fixed in 0.9.0a2, which adds identifier quoting and validation. As a workaround, only configure schema names from trusted deployment configuration.