CVE-2026-42316

kafka-sink-azure-kusto Kafka Connect plagini Azure Data Explorer (Kusto) üçün rəsmi Microsoft sinkidir. Versiya 5.2.3-dək kafka-sink-azure-kusto kusto.tables.topics.mapping konfiqurasiyasındakı istifadəçi tərəfindən idarə olunan dəyərləri təmizləmirdi. Hər bir mapping daxilindəki db, table, mapping və format sahələri String.formatted(...) vasitəsilə birbaşa KQL idarəetmə/sorğu əmrlərinə yerləşdirilirdi (məsələn, FETCH_TABLE_COMMAND.formatted(table) → "<table> | count", FETCH_TABLE_MAPPING_COMMAND.formatted(table, format, mapping) → ".show table <table> ingestion <format> mapping '<mapping>'"). Konnektor konfiqurasiyasına təsir edə bilən şəxs (məsələn, Kafka Connect konnektor konfiqurasiyalarını göndərmək və ya redaktə etmək icazəsi olan biri), konnektorun servis prinsipalının kontekstində ixtiyari idarəetmə əmrlərini icra etmək üçün KQL meta simvollarını (;, |, ') daxil edə bilərdi — bu isə hədəf Azure Data Explorer verilənlər bazasında sxemlərin sadalanmasını/dəyişdirilməsini, ingestion-mapping manipulyasiyasını və ya axın/saxlama siyasətlərinin dəyişdirilməsini mümkün edir. Bu, manipulyasiya zəifliyidir. İstismar üçün konnektor konfiqurasiyasına imtiyazlı giriş tələb olunur; son istifadəçinin qarşılıqlı əlaqəsi və ya Kafka qeyd faylı (payload) tələb edilmir. Bu zəiflik 5.2.3 versiyasında aradan qaldırılmışdır.