romain-deperne/cve-2026-41490Detailed CVE-2026-41490 disclosure with PoC demonstrating unauthenticated SQL injection in Dagster database I/O managers via dynamic partition keys, affecting DuckDB, Snowflake, BigQuery, and DeltaLake integrations.
Gravità: Alta (CVSS 8.x — AV:N/AC:L/PR:L/UI:N + C:H/I:H/A:H)
CWE: CWE-89 — SQL Injection
Interessati: integrazioni I/O manager per database di dagster — dagster-duckdb, dagster-snowflake, dagster-gcp (BigQuery), dagster-deltalake, dagster-snowflake-polars (≤ 1.12.20)
Avviso: GHSA-mjw2-v2hm-wj34
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41490
Credito: Romain Deperne
Ogni database I/O manager di Dagster costruisce la propria clausola WHERE interpolando i valori delle chiavi di partizione direttamente in SQL tramite f-string. Quando un asset utilizza DynamicPartitionsDefinition, le chiavi di partizione possono essere impostate a runtime tramite l'API GraphQL (addDynamicPartition) — che non è autenticata nella distribuzione predefinita del webserver. Una chiave di partizione maliziosa fluisce senza escaping sia nelle query SELECT (caricamento) che nelle query DELETE (pulizia), provocando SQL injection nel warehouse sottostante (Snowflake, BigQuery, DuckDB, DeltaLake, …).
Lo stesso helper, _static_where_clause, è copiato e incollato in cinque pacchetti I/O-manager. Ognuno fa:
def _static_where_clause(table_partition):
partitions = ", ".join(f"'{partition}'" for partition in table_partition.partitions)
return f"""{table_partition.partition_expr} in ({partitions})"""
partition è racchiusa tra virgolette singole senza escaping. La domanda era se partition possa mai essere controllata dall'attaccante. Per le partizioni statiche è definita dallo sviluppatore — non interessante. Per DynamicPartitionsDefinition le chiavi sono memorizzate nel database dei metadati di Dagster e aggiunte a runtime tramite la mutazione GraphQL addDynamicPartition. Nella distribuzione predefinita di dagster-webserver GraphQL non è autenticato, quindi un attaccante sulla rete fornisce la chiave di partizione end-to-end.
Ho confermato entrambe le estremità della catena: la mutazione GraphQL accetta stringhe di chiave arbitrarie senza validazione, e la chiave arriva a _static_where_clause così com'è tramite context.asset_partition_keys.
addDynamicPartition(... partitionKey: "') UNION SELECT username, password_hash FROM secret_table; --")launchRun(...) che punta a quella partizioneSELECT/DELETE ... WHERE col in ('') UNION SELECT ... ; --')| Pacchetto | File |
|---|---|
| dagster-duckdb | io_manager.py:340-342 |
| dagster-snowflake | snowflake_io_manager.py:434-436 |
| dagster-gcp (BigQuery) | bigquery/io_manager.py:472-474 |
| dagster-deltalake | io_manager.py:265-267 |
| dagster-snowflake-polars | snowflake_polars_type_handler.py:74 |
Sia il percorso di caricamento che quello di pulizia lo utilizzano:
query = f"SELECT {col_str} FROM {schema}.{table} WHERE\n" + _partition_where_clause(...) # read
query = f"DELETE FROM {schema}.{table} WHERE\n" + _partition_where_clause(...) # write
Le chiavi di partizione erano trattate come costanti fidate dello sviluppatore, ma DynamicPartitionsDefinition le trasforma in input runtime impostabile esternamente. L'interpolazione tramite f-string che era "sicura" per le chiavi statiche diventa iniezione per quelle dinamiche. Fix: query parametrizzate / quoting corretto di identificatori e literal al posto delle f-string.
poc/poc_partition_sqli.py — mostra l'output vulnerabile di _static_where_clause per chiavi benigne vs. maliziose, esegue un'esfiltrazione basata su UNION su DuckDB live + DROP TABLE contro un database pre-popolato, e stampa i payload GraphQL esatti addDynamicPartition / launchRun che un attaccante invia.
pip install duckdb # minimal; full chain: dagster dagster-duckdb pandas
python3 poc/poc_partition_sqli.py
Iniezione SQL non autenticata (configurazione predefinita) contro il data warehouse che Dagster orchestra — lettura arbitraria di altre tabelle e scritture distruttive. Dagster si trova al centro delle piattaforme dati, quindi questa vulnerabilità raggiunge l'archivio più sensibile dello stack.
Divulgata in modo responsabile tramite GitHub Security Advisory. PoC pubblicato dopo la correzione.