SQLi in elixir-ecto/postgres notifications module (CVE-2026-32687)

バグの概要：EEF-CVE-2026-32687 バグの概要 バグの種類：SQLインジェクション（SQL Injection） 影響モジュール： モジュール内の および 関数 根本原因：渡されたチャネル名が SQL ステートメントに直接連結されており、特殊文字（二重引用符 など）のエスケープが行われていません。攻撃者は悪意のあるチャネル名を構成することで任意の SQL コマンドをインジェクトできます。 影響プロトコル：PostgreSQL Simple Query Protocol を使用。複数のステートメントをペイロードとして送信でき、DDL/DML コマンド（例： ）をチェーンして実行可能です。 トリガーとなるシナリオ：再接続後に が呼び出された際にも同様の問題が発生します。 影響範囲 影響を受けるソフトウェア： 影響を受けるバージョン： - から まで（ を除く） - 具体的な Git コミット範囲： より前のコミット 構成要件：アプリケーションが または を呼び出しており、かつチャネル名が信頼できないユーザー入力に由来していること。 修正方法 修正バージョン： 以降 修正内容：チャネル名内の特殊文字を正しくエスケープし、SQLインジェクションを防止します。 参照リンク： - GitHub セキュリティ advisory：https://github.com/elixir-ecto/ecto/security/advisories/GHSA-r73h-37w8-m54h - CVE ページ：https://cve.circl.lu/cve/CVE-2026-32687 - 修正コミット：https://github.com/elixir-ecto/postgres/commit/7cedbed4316bb65f82e6a9ad922c0ac491cb70 POC / 利用コード > ページ上には具体的な POC コードブロックは提供されていませんが、利用方法は以下のように記述されています。 > - 二重引用符 を含むチャネル名を構成します。例： > - この名前は SQL ステートメントに直接埋め込まれ、インジェクションを引き起こします。 > - 悪意のあるペイロード例では、複数の SQL コマンドをチェーンして実行することができます。 その他の情報 CVSS スコア：7.5 (High) CVSS ベクター： 発見者：Peter Ullrich - FINDER ソース：CNA (Ecosystem Security Initiative)

目標達成 すべての支援者に感謝 — 100%達成しました！

SQLi in elixir-ecto/postgres notifications module (CVE-2026-32687)

目標達成すべての支援者に感謝 — 100%達成しました！