CVE-2026-41490
Dagster уязвим к SQL-инъекции через динамические ключи разделов в интеграциях Database I/O Manager
- Опубликовано
- 7 мая 2026 г.
- Обновлено
- 7 мая 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:LНизкий · следующие 30 дней
- Процентиль
- 37,7 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Dagster — это оркестрационная платформа для разработки, производства и наблюдения за data-активами. До версии Dagster Core 1.13.1 и до версии библиотек Dagster 0.29.1 менеджеры ввода-вывода DuckDB, Snowflake, BigQuery и DeltaLake формировали SQL-выражения WHERE, подставляя динамические значения ключей партиций в запросы без экранирования. Пользователь с разрешением Add Dynamic Partitions мог создать ключ партиции, который внедряет произвольный SQL, выполняемый в целевой базе данных под учётными данными менеджера ввода-вывода. Затронуты только развёртывания, использующие динамические партиции. Конвейеры со статическими или временными окнами партиций не затронуты. Эта проблема устранена в Dagster Core версии 1.13.1 и библиотеках Dagster версии 0.29.1.
Источники
Detailed CVE-2026-41490 disclosure with PoC demonstrating unauthenticated SQL injection in Dagster database I/O managers via dynamic partition keys, affecting DuckDB, Snowflake, BigQuery, and DeltaLake integrations.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.