CVE-2026-75513
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Marten to baza danych dokumentów transakcyjnych .NET i magazyn zdarzeń w PostgreSQL. Od wersji 7.0.0 do 9.13.0 kilka ścieżek Marten LINQ i zarządzania dzierżawami interpoluje ciągi wykonawcze, potencjalnie kontrolowane przez atakującego, na literały SQL w pojedynczym cudzysłowie bez ucieczki i parametryzacji. Podstawowym potwierdzonym wektorem jest klucz indeksatora słownika używany przez filtry Where w src/Marten/Linq/Members/Dictionaries/DictionaryItemMember.cs. Dodatkowe ujścia, których to dotyczy, obejmują SelectParser.cs, DatabaseScopedTenantPartitions.cs i DeleteAllForTenant.cs osiągane za pośrednictwem IEventStore.DeleteProjectionProgressAsync, podczas gdy DictionaryContainsKeyFilter.cs (tylko serializator Newtonsoft; nie ma to wpływu na System.Text.Json) obsługuje wywołania ZawieraKey. Plik Events/Daemon/Internals/EventLoader.cs zawiera powiązany literał czyszczenia partycji dla poszczególnych dzierżawców, który w poradniku określa jako ujście dogłębnej ochrony. Stworzony pojedynczy cudzysłów może uciec od wygenerowanego literału, umożliwiając obejście filtru lub autoryzacji wielu dzierżawców i ślepą eksfiltrację danych, a wdrożenia, które pozwalają na instrukcje Npgsql wsadowe ze średnikami, mogą również umożliwiać modyfikację danych. Ten problem został rozwiązany w wersji 9.13.0.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org