Um problema de SQL Injection existe na biblioteca postgrex utilizada pelo elixir-ecto. A falha ocorre quando a opção `:comment` é utilizada na função `Postgrex.stream/4` ou na função `Ecto.Repo.stream/2`. Um invasor capaz de influenciar o valor da variável `:comment` pode usar a sequência `*/` para fechar o delimitador de comentário e anexar cláusulas SQL não autorizadas que são executadas com os privilégios da função da conexão. Isso acontece porque o software concatena o comentário no texto da instrução enviado na mensagem Parse sem escapar ou rejeitar a sequência `*/`, e a função `stream/4` não chama a função de validação `comment not present!/1` utilizada em outros pontos. A injeção é limitada à instrução transmitida, pois a mensagem Parse aceita apenas um único comando.