CVE-2026-41490
Dagster Vulnerável a Injeção de SQL via Chaves de Partição Dinâmicas em Integrações do Database I/O Manager
- Publicado
- 7 de mai. de 2026
- Atualizado
- 7 de mai. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:LBaixo · próximos 30 dias
- Percentil
- 37,7%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Dagster é uma plataforma de orquestração para o desenvolvimento, produção e observação de ativos de dados. Antes da versão 1.13.1 do Dagster Core e antes da versão 0.29.1 das bibliotecas Dagster, os gerenciadores de I/O do DuckDB, Snowflake, BigQuery e DeltaLake construíam cláusulas SQL WHERE interpolando valores dinâmicos de chaves de partição em consultas sem escape. Um usuário com a permissão Adicionar Partições Dinâmicas poderia criar uma chave de partição que injeta SQL arbitrário, que seria executado contra o backend do banco de dados de destino sob as credenciais do gerenciador de I/O. Apenas implantações que usam partições dinâmicas são afetadas. Pipelines que usam partições estáticas ou por janela de tempo não são impactados. Este problema foi corrigido na versão 1.13.1 do Dagster Core e na versão 0.29.1 das bibliotecas Dagster.
Fontes
Detailed CVE-2026-41490 disclosure with PoC demonstrating unauthenticated SQL injection in Dagster database I/O managers via dynamic partition keys, affecting DuckDB, Snowflake, BigQuery, and DeltaLake integrations.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.