Podatności postgrex
3 znanych podatności CVE w postgrex, przetłumaczonych i ocenionych.
- CVE-2026-58225Niskie
Podatność SQL Injection w bibliotece postgrex dla języka Elixir pozwala atakującemu na wstrzyknięcie kodu SQL poprzez nazwę kanału LISTEN. Problem występuje podczas ponownego łączenia, gdy nazwy kanałów są łączone w bloku kodu anonimowego, a funkcja quote_channel/1 nie zabezpiecza przed znakami $$, co prowadzi do przerwania połączenia powiadomień i odmowy usługi.
- CVE-2026-66838Wysokie
W bibliotece postgrex (część elixir-ecto) w wersjach od 0.19.3 do 0.22.4 występuje podatność na wstrzykiwanie SQL przez opcję :comment w Postgrex.stream/4. Atakujący, który może wpłynąć na tę wartość, może zamknąć komentarz i dodać własne klauzule do wykonywanego zapytania.
- CVE-2026-32687Wysokie
Podatność na iniekcję SQL w module Elixir.Postgrex.Notifications biblioteki postgrex dla języka Elixir. Parametr channel przekazywany do funkcji listen/3 i unlisten/3 jest interpolowany bezpośrednio do zapytań SQL LISTEN/UNLISTEN bez odpowiedniego escapowania znaku cudzysłowu. Atakujący, który może wpływać na nazwę kanału, może wstrzyknąć dowolne polecenia SQL, w tym DDL i DML, wykorzystując protokół simple query PostgreSQL. Podatność dotyczy wersji od 0.16.0 do 0.22.2.