CVE-2026-65321

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.8%
CWE: CWE-89
KEV Durumu: Hayır

Yayım tarihi: 2 Ağustos 2026

PyAthena 3.35.4 sürümünden önceki sürümlerinde, DefaultParameterFormatter.format() içindeki düzgün olmayan tırnak kaçışının sömestrilmesine izin veren bir SQL enjeksiyon zafiyeti bulunmaktadır. Bu, kimlik doğrulaması yapılmamış saldırganların keyfi SQL enjekte etmesine olanak tanır ve DELETE ve CTAS ifadelerini _escape_hive işlevine yönlendirir, bu da tek tırnakları çiftleştirmek yerine ters slash ile kaçış yapar. Athena ve Trino, dize literalleri içinde ters slashları kaçış karakteri olarak ele almadığından, saldırgan tarafından sağlanan girdi, bir tek tırnak ve SQL sözdizimi gibi, parse ediciyi dize literallerini önceden sonlandırmasına neden olur ve bu da UNION SELECT aracılığıyla veri sızdırılmasını, yıkıcı ifadelerin yürütülmesini ve saldırgan tarafından kontrol edilen CTAS hedefi ve içeriğini sağlar.

Orijinal açıklama (İngilizce)

PyAthena prior to 3.35.4 contains a sql injection vulnerability that allows unauthenticated attackers to inject arbitrary SQL by exploiting improper quote-escaping in DefaultParameterFormatter.format(), which routes DELETE and CTAS statements to the _escape_hive function that backslash-escapes single quotes rather than doubling them. Because Athena and Trino do not treat backslashes as escape characters inside string literals, attacker-supplied input such as a single quote followed by SQL syntax causes the parser to terminate the string literal prematurely, enabling data exfiltration via UNION SELECT, execution of destructive statements, and attacker-controlled CTAS destination and content.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.