CVE-2026-125759

Nome do Software Vulnerável e Versões Afetadas Nango versões anteriores a 0.71.3

Description Atacantes não autenticados podem executar SQL arbitrário ao fornecer uma chave de grupo de tarefa manipulada para a API do orquestrador. Ao enviar um group.key malicioso para o endpoint 'POST /v1/immediate', a função TaskEventsHandler.notify() interpola a entrada em uma instrução Postgres NOTIFY, permitindo a execução de consultas empilhadas contra o banco de dados do agendador.

Recommendations Atualize o Nango para a versão 0.71.3 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /v1/immediate' ou evite usar o parâmetro group.key até que a atualização seja aplicada.