CVE-2026-21892

See a problem?
Please try reporting it to the source first.
Source
https://cve.org/CVERecord?id=CVE-2026-21892
Import Source
https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-21892.json
JSON Data
https://api.osv.dev/v1/vulns/CVE-2026-21892
Aliases
Downstream
Published
2026-01-08T14:02:15.819Z
Modified
2026-01-22T05:45:46.732321Z
Severity
  • 5.3 (Medium) CVSS_V3 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CVSS Calculator
Summary
Parsl Monitoring Visualization Vulnerable to SQL Injection
Details

Parsl is a Python parallel scripting library. A SQL Injection vulnerability exists in the parsl-visualize component of versions prior to 2026.01.05. The application constructs SQL queries using unsafe string formatting (Python % operator) with user-supplied input (workflow_id) directly from URL routes. This allows an unauthenticated attacker with access to the visualization dashboard to inject arbitrary SQL commands, potentially leading to data exfiltration or denial of service against the monitoring database. Version 2026.01.05 fixes the issue.

Database specific 
{
    "cwe_ids": [
        "CWE-89"
    ],
    "cna_assigner": "GitHub_M",
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/21xxx/CVE-2026-21892.json"
}
References

Affected packages

Git / github.com/parsl/parsl

Affected ranges

Type
GIT
Repo
https://github.com/parsl/parsl
Events
Introduced
0 Unknown introduced commit / All previous commits are affected
Fixed
013a928461e70f38a33258bd525a351ed828e974

Affected versions

0.*
0.1
0.1.2
0.2.0
0.2.1
0.2.2-alpha
0.3.0-a
0.3.1
0.4.0
0.4.0a0
0.4.1
0.5.0
0.5.0a0
0.5.0a1
0.5.1
0.6.0
0.6.0-a0
0.6.1
0.6.1-a0
0.6.2-a0
0.6.2-a1
0.7.0
0.7.0-a0
0.7.0-a1
0.7.1
0.7.2
0.8.0
0.8.0a0
0.9.0
0.9.0-a0
1.*
1.0.0
1.0.0a0
1.1.0
1.1.0a0
1.1.0a1
1.2.0
2023.*
2023.02.27
2023.02.27dev6
2023.03.06
2023.03.13
2023.03.20
2023.03.27
2023.04.03
2023.04.10
2023.04.17
2023.04.24
2023.05.01
2023.05.08
2023.05.15
2023.05.22
2023.05.29
2023.06.05
2023.06.12
2023.06.19
2023.06.26
2023.07.03
2023.07.10
2023.07.17
2023.07.24
2023.07.31
2023.08.07
2023.08.14
2023.08.21
2023.08.28
2023.09.04
2023.09.11
2023.09.18
2023.09.25
2023.10.02
2023.10.09
2023.10.16
2023.10.23
2023.11.13
2023.11.20
2023.11.27
2023.12.04
2023.12.11
2023.12.18
2023.12.25
2024.*
2024.01.01
2024.01.08
2024.01.15
2024.01.22
2024.01.29
2024.02.05
2024.02.12
2024.02.19
2024.02.26
2024.03.04
2024.03.11
2024.03.18
2024.03.25
2024.04.01
2024.04.08
2024.04.15
2024.04.22
2024.04.29
2024.05.06
2024.05.13
2024.05.20
2024.05.27
2024.06.03
2024.06.10
2024.06.17
2024.06.24
2024.07.01
2024.07.08
2024.07.15
2024.07.22
2024.07.29
2024.08.05
2024.08.12
2024.08.19
2024.08.26
2024.09.02
2024.09.09
2024.09.16
2024.09.23
2024.09.30
2024.10.07
2024.10.14
2024.10.21
2024.10.28
2024.11.04
2024.11.11
2024.11.18
2024.11.25
2024.12.02
2024.12.09
2024.12.16
2024.12.23
2024.12.30
2025.*
2025.01.06
2025.01.13
2025.01.20
2025.01.27
2025.02.03
2025.02.10
2025.02.17
2025.02.24
2025.03.03
2025.03.10
2025.03.17
2025.03.24
2025.03.31
2025.04.07
2025.04.14
2025.04.21
2025.04.28
2025.05.05
2025.05.12
2025.05.19
2025.05.26
2025.06.02
2025.06.09
2025.06.16
2025.06.23
2025.06.30
2025.07.07
2025.07.14
2025.07.21
2025.07.28
2025.08.04
2025.08.11
2025.08.18
2025.08.25
2025.09.01
2025.09.08
2025.09.15
2025.09.22
2025.09.29
2025.10.06
2025.10.13
2025.10.20
2025.10.27
2025.11.03
2025.11.10
2025.11.17
2025.11.24
2025.12.01
2025.12.08
2025.12.15
2025.12.22
2025.12.29

Database specific

source 
"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-21892.json"