CVE-2026-41490
Təsvir
Dagster məlumat aktivlərinin hazırlanması, istehsalı və müşahidəsi üçün orkestrasiya platformasıdır. Dagster Core versiya 1.13.1-dən və Dagster kitabxanaları versiya 0.29.1-dən əvvəlki versiyalarda DuckDB, Snowflake, BigQuery və DeltaLake I/O menecerləri dinamik bölmə açarı dəyərlərini escape etmədən sorğulara daxil edərək SQL WHERE bəndlərini qururdu. Add Dynamic Partitions icazəsinə malik istifadəçi ixtiyari SQL-i inyeksiya edən bölmə açarı yarada bilərdi ki, bu da hədəf verilənlər bazasının backend-ində I/O menecerinin etibarnamələri ilə icra olunardı. Yalnız dinamik bölmələrdən istifadə edən tətbiqlər təsirlənir. Statik və ya zaman pəncərəli bölmələrdən istifadə edən boru kəmərləri (pipelines) təsirlənmir. Bu problem Dagster Core versiya 1.13.1 və Dagster kitabxanaları versiya 0.29.1-də aradan qaldırılmışdır.
Necə düzəltmək olar
- dagster1.13.1 və ya daha yeni versiya
- dagster-duckdb0.29.1 və ya daha yeni versiya
- dagster-snowflake0.29.1 və ya daha yeni versiya
- dagster-gcp0.29.1 və ya daha yeni versiya
- dagster-deltalake0.29.1 və ya daha yeni versiya
- dagster-snowflake-polars0.29.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dagsterPyPI | v < 1.13.1 | 1.13.1 |
| dagster-duckdbPyPI | v < 0.29.1 | 0.29.1 |
| dagster-snowflakePyPI | v < 0.29.1 | 0.29.1 |
| dagster-gcpPyPI | v < 0.29.1 | 0.29.1 |
| dagster-deltalakePyPI | v < 0.29.1 | 0.29.1 |
| dagster-snowflake-polarsPyPI | v < 0.29.1 | 0.29.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.