CVE-2026-65321

Nome do Software Vulnerável e Versões Afetadas PyAthena versões anteriores a 3.35.4

Description Atacantes não autenticados podem injetar SQL arbitrário devido à a escape inadequada de aspas na função DefaultParameterFormatter.format(). Especificamente, as instruções DELETE e CTAS são roteadas para a função escape hive(), que utiliza barras invertidas para escapar aspas simples em vez de duplicá-las. Como o Athena e o Trino não reconhecem barras invertidas como caracteres de escape dentro de literais de string, uma aspa simples na entrada pode encerrar prematuramente o literal de string. Isso permite a exfiltração de dados via UNION SELECT, a execução de instruções destrutivas e o controle não autorizado do destino e conteúdo do CTAS.

Recommendations Atualize o PyAthena para a versão 3.35.4 ou posterior.