Neutralització incorrecta d’elements especials utilitzats en una ordre SQL (‘Injecció SQL’)
04/03/2026
CVE-2026-26198
CRÍTIC (9,8)
CVSS3: 0,0
Ormar és un mini ORM asíncron per a Python. A les versions 0.9.9 a 0.22.0, en fer consultes agregades, Ormar ORM construeix expressions SQL passant noms de columna proporcionats per l’usuari directament a `sqlalchemy.text()` sense cap validació ni sanejament. Els mètodes `min()` i `max()` de la classe `QuerySet` accepten una entrada de cadena arbitrària com a paràmetre de columna. Mentre que `sum()` i `avg()` estan parcialment protegits per una comprovació de tipus `is_numeric` que rebutja camps inexistents, `min()` i `max()` ometen completament aquesta validació. Com a resultat, una cadena controlada per l’atacant s’incrusta com a SQL escrit directament dins de la crida a la funció agregada. Qualsevol usuari no autoritzat pot explotar aquesta vulnerabilitat per llegir tot el contingut de la base de dades, incloses les taules no relacionades amb el model consultat, mitjançant la injecció d’una subconsulta com a paràmetre de columna.
post:/platform/configuration/security/service-accountsdelete:/platform/configuration/security/service-accounts/{user_id}patch:/platform/configuration/security/service-accounts/{user_id}post:/platform/configuration/security/service-accounts/{user_id}/keysdelete:/platform/configuration/security/service-accounts/{user_id}/keys/{api_key_id}patch:/userpost:/userspost:/users/auth/keysdelete:/users/auth/keysdelete:/users/auth/keys/_alldelete:/users/auth/keys/{api_key_id}delete:/users/{user_id}/auth/keysdelete:/users/{user_id}/auth/keys/{api_key_id}delete:/users/{user_name}patch:/users/{user_name}
Sistemes Afectats
- Ormar ORM
Remediació
Actualitzeu a la versió 0.23.0. Vegeu-ne les Referències.
