CVE-2026-65321
Açıklama
PyAthena 3.35.4 öncesi sürümlerinde, DefaultParameterFormatter.format() içindeki hatalı tırnak kaçışı nedeniyle DELETE ve CTAS ifadelerini tek tırnakları ikiye katlamak yerine ters eğik çizgiyle kaçışlayan _escape_hive fonksiyonuna yönlendiren bir SQL enjeksiyonu güvenlik açığı bulunmaktadır. Athena ve Trino, dize sabitleri içinde ters eğik çizgiyi kaçış karakteri olarak değerlendirmediğinden, saldırgan tarafından sağlanan tek tırnak ve ardından gelen SQL sözdizimi gibi girdiler ayrıştırıcının dize sabitini erken sonlandırmasına neden olarak UNION SELECT aracılığıyla veri sızdırılmasına, yıkıcı ifadelerin çalıştırılmasına ve saldırgan tarafından kontrol edilen CTAS hedefi ve içeriğine olanak tanımaktadır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| laughingman7743 PyAthena | v ≤ 3.35.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.