Apache Flink: Remote code execution via SQL injection in code generation
Code injection in SQL code generation in Apache Flink 1.15.0 through 1.20.x and 2.0.0 through 2.x allows authenticated users with query submission privileges to execute arbitrary code on TaskManagers via maliciously crafted SQL queries. The vulnerability affects JSON functions (1.15.0+) and LIKE expressions with ESCAPE clauses (1.17.0+). User-controlled strings are interpolated into generated Java code without proper escaping, allowing attackers to break out of string literals and inject arbitrary expressions.
Users are recommended to upgrade to either version 1.20.4, 2.0.2, 2.1.2 or 2.2.1, which fixes this issue.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | org.apache.flink:flink-table-api-java | >= 1.15.0, < 1.20.4, >= 2.0.0, < 2.0.2, >= 2.1.0, < 2.1.2, >= 2.2.0, < 2.2.1 | 1.20.4, 2.0.2, 2.1.2, 2.2.1 |
| Java / Kotlin (Maven) | org.apache.flink:flink-table-planner_2.12 | >= 1.15.0, < 1.20.4, >= 2.0.0, < 2.0.2, >= 2.1.0, < 2.1.2, >= 2.2.0, < 2.2.1 | 1.20.4, 2.0.2, 2.1.2, 2.2.1 |
| Java / Kotlin (Maven) | org.apache.flink:flink-table-runtime | >= 1.15.0, < 1.20.4, >= 2.0.0, < 2.0.2, >= 2.1.0, < 2.1.2, >= 2.2.0, < 2.2.1 | 1.20.4, 2.0.2, 2.1.2, 2.2.1 |
Verweise
- https://nvd.nist.gov/vuln/detail/CVE-2026-35194
- https://github.com/apache/flink/commit/64007b131d689158af90ca1c1b71b018129a85c5
- https://github.com/apache/flink/commit/8db22cf8fbc4c785f6ffd41c2fd3e8b64a9688cd
- https://github.com/apache/flink
- https://lists.apache.org/thread/qh52bw4hhvy7n2owd8b3bt51mz0lvj9x
- http://www.openwall.com/lists/oss-security/2026/05/15/20
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N- Schwäche (CWE)
CWE-94- Plattform
- Java / Kotlin (Maven)
- Paket
org.apache.flink:flink-table-api-java, org.apache.flink:flink-table-planner_2.12, org.apache.flink:flink-table-runtime- Veröffentlicht
- 15.05.2026
- Aktualisiert
- 11.10.2026 12:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-2f54-v4hm-fx73 - CC BY 4.0
Schwachstellenhistorie: org.apache.flink:flink-table-runtime
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.