CVE-2026-66838

إصدارات postgrex من 0.19.3 إلى 0.22.3

توجد ثغرة تتعلق بحقن SQL في مكتبة postgrex التي يستخدمها elixir-ecto. تحدث هذه الثغرة عند استخدام الخيار :comment داخل الدالة Postgrex.stream/4 أو الدالة Ecto.Repo.stream/2. يمكن للمهاجم القادر على التأثير على قيمة المتغير :comment استخدام التسلسل */ لإغلاق محدد التعليق وإلحاق جمل SQL غير مصرح بها يتم تنفيذها بامتيازات دور الاتصال. يحدث هذا لأن البرنامج يضم التعليق إلى نص العبارة المرسلة في رسالة Parse دون إخفاء أو رفض تسلسل «*/»، كما أن الدالة «stream/4» تفشل في استدعاء دالة التحقق «comment not present!/1» المستخدمة في أماكن أخرى. يقتصر الحقن على العبارة المُرسلة عبر الدفق، حيث إن رسالة Parse لا تقبل سوى أمر واحد.

تحديث postgrex إلى الإصدار 0.22.4 أو أحدث.

كحل مؤقت، رفض أي قيمة :comment تحتوي على */ أو بايت فارغ قبل تمريرها إلى Postgrex.stream/4 أو Ecto.Repo.stream/2.

التأكد من أن التعليقات تُبنى فقط من قيم موثوقة.