PT-2026-37118 · Dagster+4 · Dagster Core+5

Alexwaira + 2 · Publicado 2026-04-18 · Atualizado 2026-05-07 · CVE-2026-41490

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Dagster Core versões anteriores a 1.13.1 Dagster libraries versões anteriores a 0.29.1

Description Os gerenciadores de I/O do DuckDB, Snowflake, BigQuery e DeltaLake constroem cláusulas SQL WHERE interpolando valores de chaves de partição dinâmica em consultas sem a devida sanitização (escaping). Um usuário com a permissão Add Dynamic Partitions pode criar uma chave de partição que injeta SQL arbitrário, que será executado no backend do banco de dados de destino usando as credenciais do gerenciador de I/O. Este problema afeta apenas implantações que utilizam partições dinâmicas; pipelines que utilizam partições estáticas ou de janela de tempo não são impactados.

Recommendations Atualize o Dagster Core para a versão 1.13.1. Atualize o Dagster libraries para a versão 0.29.1.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-41490

GHSA-MJW2-V2HM-WJ34

Produtos afetados

Bigquery

Dagster Core

Dagster Libraries

Deltalake

Duckdb

Snowflake

Referências · 6

• https://github.com/dagster-io/dagster · Nota
• https://github.com/dagster-io/dagster/releases/tag/1.13.1 · Nota
• https://github.com/dagster-io/dagster/security/advisories/GHSA-mjw2-v2hm-wj34 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41490 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mjw2-v2hm-wj34 · Aviso do Fabricante
• https://gist.github.com/gibsondan/6d0c483f8499a8b1cd460cddc9fd8f72 · Nota