← 戻る
CVE-2024-27289
high
CVSS 8.1
pgx is a PostgreSQL driver and toolkit for Go. Prior to version 4.18.2, SQL injection can occur when all of the following conditions are met: the non-default simple protocol is used; a placeholder for...
概要
pgx is a PostgreSQL driver and toolkit for Go. Prior to version 4.18.2, SQL injection can occur when all of the following conditions are met: the non-default simple protocol is used; a placeholder for a numeric value must be immediately preceded by a minus; there must be a second placeholder for a s...
AI要約 openai / gpt-4o
pgxはGo用のPostgreSQLドライバーで、バージョン4.18.2より前ではSQLインジェクションの脆弱性が存在します。これは、特定の条件下で非デフォルトのシンプルプロトコルを使用した場合に発生します。問題はバージョン4.18.2で修正されています。ワークアラウンドとして、シンプルプロトコルを使わないか、プレースホルダーの前にマイナスを置かないようにします。
❓ 何が問題か
pgxにおけるSQLインジェクションの脆弱性
📍 影響範囲
pgxのバージョン4.18.2未満
🔥 重要度
Go言語で使用されるPostgreSQLドライバーにおいて、ユーザー制御可能なパラメータを通じてSQLインジェクションが可能。CVSSスコアは8.1で、高い重要性を持つ。
🔧 修正方法
バージョン4.18.2にアップデートして、脆弱性を修正する。
🛡️ 暫定回避
シンプルプロトコルを使用しないか、プレースホルダーの前にマイナスを置かない。
🔍 検知方法
pgxを使用しているコードを確認し、該当バージョンを使っていないかチェックする。