CVE-2026-66838

elixir-ecto postgrex bileşenindeki bir SQL Komutunda Kullanılan Özel Öğelerin Uygun Şekilde Etkisizleştirilmemesi ('SQL Injection') zafiyeti, Postgrex.stream/4 fonksiyonunun :comment seçeneği üzerinden SQL Injection yapılmasına olanak tanır. Bu değeri etkileyebilen bir saldırgan, yorum sınırlayıcısını */ ile kapatabilir ve akışa edilen ifadeyi kendi yan tümceleriyle genişleterek bunları bağlantının rolü altında çalıştırabilir. Ecto aynı seçeneği Ecto.Repo.stream/2 aracılığıyla sunmaktadır. Postgrex, yorumu */ karakterlerini kaçırmadan veya reddetmeden, Parse mesajında gönderilen ifade metnine ekleyerek ekler. Seçenek, diğer tüm yürütme noktalarında comment_not_present!/1 tarafından doğrulanırken; stream/4 bunu hiçbir zaman çağırmaz. Parse tek bir komutu kabul ettiği için, enjeksiyon yalnızca akışa edilen ifade ile sınırlıdır ve daha fazla ifade zincirlenemez. Bu sorun postgrex: 0.19.3 sürümünden 0.22.4 öncesine kadar olan sürümleri etkilemektedir.