CVE-2026-32687

elixir-ecto postgrex ('Elixir.Postgrex.Notifications' modulu) kitabxanasında SQL əmrində istifadə olunan xüsusi elementlərin düzgün neytrallaşdırılmaması ('SQL Injection') zəifliyi SQL inyeksiyasına şərait yaradır. 'Elixir.Postgrex.Notifications':listen/3 və 'Elixir.Postgrex.Notifications':unlisten/3 funksiyalarına ötürülən channel arqumenti, " simvolu ekranlanmadan birbaşa LISTEN "..." / UNLISTEN "..." SQL ifadələrinə daxil edilir. Kanal adına təsir edə bilən hücumçu, dırnaq işarəsini (" ) yerləşdirərək dırnaq arası identifikatordan çıxa və ixtiyari SQL əmrləri əlavə edə bilər. Bildirişlər bağlantısı PostgreSQL sadə sorğu protokolundan istifadə etdiyi üçün çoxlu ifadəli payload-lar qəbul edilir ki, bu da DDL və DML əmrlərinin ardıcıl şəkildə icrasına imkan verir (məsələn, ; DROP TABLE ...; --). Eyni təmizlənməmiş interpolasiya prosesi, yenidən qoşulma zamanı LISTEN əmrləri təkrarlandıqda handle_connect/1 funksiyasında da baş verir. Bu zəiflik lib/postgrex/notifications.ex proqram faylı və 'Elixir.Postgrex.Notifications':listen/3, 'Elixir.Postgrex.Notifications':unlisten/3, 'Elixir.Postgrex.Notifications':handle_connect/1 proqram rutinləri ilə bağlıdır. Bu problem postgrex: 0.16.0 versiyasından başlayaraq 0.22.2 versiyasına qədər olan versiyalara təsir edir.