CVE-2026-8838
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W sterowniku amazon-redshift-python-driver przed wersją 2.1.14, funkcja vector_in() używa niebezpiecznej funkcji eval() na danych otrzymanych z serwera. Pozwala to złośliwemu serwerowi lub atakującemu typu man-in-the-middle na wykonanie dowolnego kodu na kliencie. Aby usunąć podatność, należy zaktualizować sterownik do wersji 2.1.14.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na komputerze klienta łączącego się z Redshift, co może prowadzić do kradzieży danych lub przejęcia kontroli nad stacją kliencką.
Rekomendacja
Należy zaktualizować amazon-redshift-python-driver do wersji 2.1.14 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Unsafe use of Python's eval() on server-received data in the vector_in() function in amazon-redshift-python-driver before 2.1.14 allows a rogue server or man-in-the-middle actor to execute arbitrary code on the client. To remediate this issue, users should upgrade to version 2.1.14.