CVE-2026-16651
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
temporalio/sqlparser może wpaść w panikę, gdy Parse, ParseStrictDDL lub ParseNext przetwarzają komentarz do wersji MySQL, którego zawartość jest pusta lub składa się tylko z jednej do pięciu cyfr dziesiętnych. ExtractMysqlComment nie sprawdza wyniku -1 zwróconego przez strings.IndexFunc przed użyciem go jako granicy plasterka. Powstała panika w środowisku wykonawczym Go rozprzestrzenia się, chyba że wywołujący odzyska ją w procedurze analizowania, więc aplikacje analizujące SQL kontrolowany przez osobę atakującą mogą zakończyć działanie. Serwer Temporal udostępnia analizator składni, którego dotyczy problem, poprzez ListWorkers. Gdy ten interfejs API jest włączony, uwierzytelniony obiekt wywołujący z uprawnieniami do odczytu przestrzeni nazw może przesłać zniekształcone zapytanie, które kończy odbierający proces dopasowywania. Powtarzające się żądania mogą skutkować odmową usługi. Problem dotyczy tylko dostępności; nie stwierdzono żadnego wpływu na poufność ani integralność.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/temporalio/sqlparser/commit/74181ffcbaaf0c52faa925f4cf27ed6c0c2be86f
- https://github.com/temporalio/sqlparser/pull/5
- https://github.com/temporalio/sqlparser/tree/v0.1.0
- https://github.com/temporalio/temporal/pull/11090
- https://github.com/temporalio/temporal/pull/11190
- https://github.com/temporalio/temporal/releases/tag/v1.30.7
- https://github.com/temporalio/temporal/releases/tag/v1.31.3
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org