JVNDB-2026-028665

Elixir-ectoのPostgrexにおけるSQL インジェクションの脆弱性

elixir-ecto の postgrex における、SQLコマンドで使用される特殊要素の不適切な無害化（「SQLインジェクション」）の脆弱性は、Postgrex.stream/4 の :comment オプションを介してSQLインジェクションを許します。この脆弱性により、攻撃者はコメントデリミタを */ で閉じ、自身の条件を追加してストリームされたステートメントを拡張できます。これらの処理は接続のロール権限下で実行されます。Ecto は同じオプションを Ecto.Repo.stream/2 を通じて公開しています。Postgrex はコメントを Parse メッセージで送信されるステートメントテキストに単純に連結しており、*/ のエスケープや拒否を行っていません。このオプションは他の実行ポイントで comment_not_present!/1 により検証されますが、stream/4 では呼び出されません。Parse は単一コマンドのみを受け付けるため、インジェクションはストリームされるステートメント内に限定され、さらなるステートメントの連結は不可能です。この問題は postgrex バージョン 0.19.3 から 0.22.4 より前のバージョンに影響します。

Elixir-ecto

• Postgrex 0.19.3 以上 0.22.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-66838

GitHub

• GitHub : SQL injection via the `:comment` option in `Postgrex.stream/4`  Advisory  elixir-ecto/ecto  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-66838 - OSV

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-66838

1. National Vulnerability Database (NVD) : CVE-2026-66838
2. 関連文書 : Reject invalid comments on streams  elixir-ecto/postgrex@e1ecba6  GitHub
3. 関連文書 : Reject invalid comments on streams  elixir-ecto/postgrex@4011be8  GitHub

• [2026年08月18日]
    掲載