תיאור (מקור, אנגלית)
Electric is a Postgres sync engine. From 1.1.12 to before 1.5.0, the order_by parameter in the ElectricSQL /v1/shape API is vulnerable to error-based SQL injection, allowing any authenticated user to read, write, and destroy the full contents of the underlying PostgreSQL database through crafted ORDER BY expressions. This vulnerability is fixed in 1.5.0.
מוצרים מושפעים
electric: sync-service
קישורים6
- github.com/electric-sql/electric/security/advisories/GHSA-h5rg… ExploitVendor Advisory
- github.com/electric-sql/electric/security/advisories/GHSA-h5rg… ExploitVendor Advisory
- github.com/electric-sql/electric/pull/4081 ExploitIssue Tracking
- access.redhat.com/security/cve/CVE-2026-40906
- bugzilla.redhat.com/show_bug.cgi?id=2460291
- security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-4090…
מדדים
- CVSS 3.1
-
8.8
HIGH
מקור הציון: NVD
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - EPSS — סבירות ניצול
- 0% אחוזון 41 · נכון ל-13 בנובמבר 2026
- CWE
- CWE-89
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.