PT-2026-41310 · Apache · Apache Flink

CVE-2026-35194 · Publicado 2026-05-15 · Atualizado 2026-05-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Flink versões 1.15.0 até 1.20.x Apache Flink versões 2.0.0 até 2.x

Description A injeção de código na geração de código SQL permite que usuários autenticados com privilégios de envio de consultas executem código arbitrário nos TaskManagers por meio de consultas SQL maliciosamente elaboradas. O problema ocorre porque strings controladas pelo usuário são interpoladas no código Java gerado sem a devida filtragem, permitindo que invasores saiam de literais de string e injetem expressões arbitrárias. Isso afeta funções JSON e expressões LIKE com cláusulas ESCAPE.

Recommendations Atualizar as versões 1.15.0 até 1.20.x para a versão 1.20.4. Atualizar as versões 2.0.0 até 2.x para a versão 2.0.2, 2.1.2 ou 2.2.1.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BIT-FLINK-2026-35194

CVE-2026-35194

GHSA-2F54-V4HM-FX73

Produtos afetados

Apache Flink

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/35xxx/CVE-2026-35194.json · Exploit
• https://github.com/apache/flink/commit/8db22cf8fbc4c785f6ffd41c2fd3e8b64a9688cd · Nota
• https://github.com/apache/flink/commit/64007b131d689158af90ca1c1b71b018129a85c5 · Nota
• https://github.com/apache/flink · Nota
• https://t.me/cveNotify/163688 · Publicação no Telegram
• https://twitter.com/cybrsecpath/status/2055975825590345870 · Publicação no Twitter
• https://lists.apache.org/thread/qh52bw4hhvy7n2owd8b3bt51mz0lvj9x · Aviso do Fabricante
• https://t.me/cveNotify/163910 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2026/05/15/20 · Nota
• https://twitter.com/oss_security/status/2056950041613320587 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-flink-2026-35194 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-35194 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35194 · Nota de Segurança
• https://twitter.com/the_yellow_fall/status/2056206640349901078 · Publicação no Twitter
• https://t.me/CVEtracker/53934 · Publicação no Telegram