CVE-2026-66838

elixir-ecto postgrex-də SQL əmrində istifadə olunan xüsusi elementlərin yanlış neytrallaşdırılması ('SQL Injection') zəifliyi, Postgrex.stream/4 funksiyasının :comment seçimi vasitəsilə SQL inyeksiyasına şərait yaradır. Həmin dəyərə təsir edə bilən hücumçu, */ ilə şərh ayırıcısını bağlaya və axınlı (streamed) ifadəni öz bəndləri ilə genişləndirə bilər ki, bunlar da qoşulmanın rolu altında icra olunur. Ecto eyni seçimi Ecto.Repo.stream/2 vasitəsilə təqdim edir. Postgrex şərhi, Parse mesajında göndərilən ifadə mətninə onu əlavə edərkən */ simvollarını ekranlamır (escaping) və ya rədd etmir. Bu seçim digər bütün icra nöqtələrində comment_not_present!/1 tərəfindən yoxlanılır; lakin stream/4 bunu heç vaxt çağırmır. Parse yalnız bir əmri qəbul etdiyi üçün inyeksiya yalnız axınlı ifadə ilə məhdudlaşır və sonrakı əmrləri zəncirləmək mümkün deyil. Bu problem postgrex-in 0.19.3 versiyasından 0.22.4 versiyasına qədər olan hissəsinə təsir edir.