vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-016963

Elixir-ectoのPostgrexにおけるSQL インジェクションの脆弱性

7.8
2026/05/25 10:25
CVE-2026-32687
JVNDB-2026-016963
Elixir-ectoのPostgrexにおけるSQL インジェクションの脆弱性
概要
elixir-ectoのpostgrex（'Elixir.Postgrex.Notifications'モジュール）におけるSQLコマンドで使用される特殊要素の不適切な無害化により、SQLインジェクションの脆弱性が存在します。'Elixir.Postgrex.Notifications'モジュールのlisten/3およびunlisten/3に渡されるchannel引数は、LISTEN "..." / UNLISTEN "..." SQL文内で文字がエスケープされずに直接挿入されます。攻撃者がチャネル名を操作できる場合、引用符で囲まれた識別子を抜け出すために"を注入し、任意のSQLを追加できます。通知接続はPostgreSQLのシンプルクエリプロトコルを使用しているため、複数ステートメントのペイロードが許容され、DDLやDMLコマンドの連結（例：; DROP TABLE ...; --）も可能です。同様の無検証の挿入は、再接続後にLISTENコマンドを再生するhandle_connect/1内でも発生します。この脆弱性はlib/postgrex/notifications.exファイル内の'Elixir.Postgrex.Notifications'のlisten/3、unlisten/3、handle_connect/1ルーチンに関連しています。本問題はpostgrexバージョン0.16.0から0.22.2未満、GitHubパッケージelixir-ecto/postgrex@266b530faf9bde094e31e0e4ab851f933fadc0f5から0.22.2未満に影響します。
想定される影響と対策
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 7.8
CVECVE-2026-32687
公表日2026/05/12 00:00
登録日2026/05/25 10:25
更新日2026/05/25 10:25
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン