What is CVE-2026-66838?
CVE-2026-66838 is an SQL Injection vulnerability in elixir-ecto postgrex. Due to improper neutralization of special elements in the :comment option of Postgrex.stream/4, an attacker can close the comment delimiter using */ and extend the streamed SQL statement. Applications using postgrex should be updated to mitigate this unauthorized SQL execution risk.
Azərbaycanca: CVE-2026-66838, elixir-ecto postgrex komponentində SQL Injection zəifliyidir. Postgrex.stream/4 funksiyasının :comment parametri vasitəsilə xüsusi simvolların düzgün neytrallaşdırılmaması səbəbindən, təcavüzkar */ simvolları ilə şərhi bağlayaraq SQL kodunu genişləndirə bilər. Bu zəiflikdən istifadə edərək verilənlər bazasına icazəsiz SQL sorğuları yeridilə bilər, buna görə tətbiqlərdə istifadə olunan postgrex kitabxanası yenilənməlidir.
Related CVEs
link basis: same weakness class CWE-89
FAQ2
Which function of the postgrex library is affected by CVE-2026-66838?
This SQL Injection vulnerability affects the :comment option of the Postgrex.stream/4 function.
How can an attacker exploit the CVE-2026-66838 vulnerability?
An attacker can close the comment delimiter using */ to extend the streamed SQL statement and inject unauthorized SQL queries.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.