Electric은 Postgres 동기화 엔진입니다. 1.1.12부터 1.5.0 이전까지 ElectricSQL /v1/shape API의 order_by 매개변수는 오류 기반 SQL 주입에 취약하여 인증된 사용자라면 누구나 조작된 ORDER BY 표현식을 통해 기본 PostgreSQL 데이터베이스의 전체 콘텐츠를 읽고 쓰고 삭제할 수 있습니다. 이 취약점은 1.5.0에서 수정되었습니다.
Electric은 Postgres 동기화 엔진입니다. 1.1.12부터 1.5.0 이전까지 ElectricSQL /v1/shape API의 order_by 매개변수는 오류 기반 SQL 주입에 취약하여 인증된 사용자라면 누구나 조작된 ORDER BY 표현식을 통해 기본 PostgreSQL 데이터베이스의 전체 콘텐츠를 읽고 쓰고 삭제할 수 있습니다. 이 취약점은 1.5.0에서 수정되었습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 99.00 |
| 악용 신호(PoC 존재) | ×1.20 |
| VPI | 100.00 |
VPI 공식 vpi-v1 기준