CVE-2026-82526
KrytyczneCVSS 9.8Streszczenie
R2R do wersji 3.6.6 zawiera podatność na złożone wstrzyknięcie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez manipulację parametrem nazwy indeksu w punkcie końcowym tworzenia indeksu wektorowego. Nazwa indeksu jest interpolowana bezpośrednio do instrukcji CREATE INDEX przez formatowanie stringów bez cytowania identyfikatorów ani walidacji listy dozwolonych, co umożliwia wykonanie dowolnych DDL i DML przez instrukcje rozdzielone średnikami na koncie superużytkownika PostgreSQL.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia SQL, co może prowadzić do pełnego przejęcia bazy danych, naruszenia danych lub ich usunięcia.
Rekomendacja
Zaktualizuj R2R do wersji z poprawką lub zastosuj walidację i cytowanie identyfikatorów w zapytaniach SQL.
Inne podatności w R2R
Zobacz wszystkie- CVE-2026-82527Wysokie
Aplikacja R2R do wersji 3.6.6 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie predykatów SQL do zapytania wyszukiwania fragmentów (chunks) poprzez manipulację parametrem filter key w punkcie końcowym wyszukiwania. Atakujący mogą wykorzystać bezpośrednią interpolację kluczy filtrów do klauzuli WHERE bez parametryzacji lub escapowania, aby przeprowadzić eksfiltrację danych z bazy aplikacji metodą czasową i boolean-based.
- CVE-2026-82271Średnie
R2R do wersji 3.6.5 nieprawidłowo weryfikuje własność konwersacji w handlerach aktualizacji i wiadomości, co pozwala uwierzytelnionym użytkownikom modyfikować konwersacje innych użytkowników. Atakujący mogą podać dowolne identyfikatory konwersacji, aby zmieniać ich nazwy i dodawać wiadomości do historii innych, co psuje stan i umożliwia wstrzyknięcie złośliwej treści.
Oryginalny opis (angielski, źródło NVD)
R2R through 3.6.6 contains a stacked SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL statements by manipulating the index name parameter in the vector index creation endpoint. The index name is interpolated directly into a CREATE INDEX statement via string formatting without identifier quoting or allowlist validation, enabling arbitrary DDL and DML execution through semicolon-separated statements under the PostgreSQL superuser account.