Vulnerabilidad en PyAthena de laughingman7743 (CVE-2026-65321)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
02/08/2026
Última modificación:
23/10/2026
Descripción
PyAthena anterior a la versión 3.35.4 contiene una vulnerabilidad de inyección SQL que permite a atacantes no autenticados inyectar SQL arbitrario al explotar un escape de comillas inadecuado en ’DefaultParameterFormatter.format()’, que enruta las sentencias ’DELETE’ y ’CTAS’ a la función ’_escape_hive’ que escapa las ’comillas simples’ con barras invertidas en lugar de duplicarlas. Debido a que Athena y Trino no tratan las barras invertidas como caracteres de escape dentro de los literales de cadena, una entrada proporcionada por el atacante, como una ’comilla simple’ seguida de sintaxis SQL, hace que el analizador termine el literal de cadena prematuramente, lo que permite la exfiltración de datos a través de ’UNION SELECT’, la ejecución de sentencias destructivas y un destino y contenido CTAS controlados por el atacante.
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Referencias a soluciones, herramientas e información
- https://github.com/laughingman7743/PyAthena
- https://github.com/laughingman7743/PyAthena/security/advisories/GHSA-xwj5-g6cv-4r5c
- https://github.com/pyathena-dev/PyAthena/commit/27901d12245ea722b3b4e211c60e2ade4e7c8efd
- https://github.com/rahulreddykarne/CVE-2026-65321-pyathena
- https://rahulkarne.com/#/cve/CVE-2026-65321
- https://www.vulncheck.com/advisories/pyathena-sql-injection-via-defaultparameterformatter-delete-ctas