PT-2026-40034 · Hexpm · Postgrex

Peter Ullrich · Publicado 2026-05-12 · Atualizado 2026-05-18 · CVE-2026-32687

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas postgrex versões 0.16.0 até 0.22.1

Descrição Um problema de Injeção de SQL existe no módulo Elixir.Postgrex.Notifications. O argumento channel passado para as funções listen/3() e unlisten/3() é interpolado diretamente em instruções SQL sem a neutralização do caractere de aspas duplas. Isso permite que um invasor que possa influenciar o nome do canal escape do identificador citado e anexe SQL arbitrário. Como a conexão de notificações utiliza o protocolo de consulta simples do PostgreSQL, payloads de múltiplas instruções são aceitos, permitindo o encadeamento de comandos de Linguagem de Definição de Dados (DDL) e Linguagem de Manipulação de Dados (DML). Essa interpolação não sanitizada também ocorre na função handle connect/1() durante a reprodução de comandos após uma reconexão.

Recomendações Atualizar para a versão 0.22.2.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-32687

GHSA-R73H-97W8-M54H

Produtos afetados

Postgrex

Referências · 7

• https://github.com/elixir-ecto/ecto · Nota
• https://github.com/elixir-ecto/ecto/security/advisories/GHSA-r73h-97w8-m54h · Aviso do Fabricante
• https://github.com/elixir-ecto/postgrex/commit/7cdedbd4316bb65f82e6a9a4f922c0ac491cb770 · Correção
• https://osv.dev/vulnerability/GHSA-r73h-97w8-m54h · Aviso do Fabricante
• https://cna.erlef.org/cves/CVE-2026-32687.html · Nota
• https://osv.dev/vulnerability/EEF-CVE-2026-32687 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-32687 · Nota de Segurança