CVE-2026-26198
KrytyczneStreszczenie
Ormar to asynchroniczny mini ORM dla Pythona. W wersjach od 0.9.9 do 0.22.0, podczas wykonywania zapytań agregacyjnych, Ormar ORM wprowadza nazwy kolumn dostarczone przez użytkownika bez walidacji lub sanitizacji, co umożliwia atakującym wstrzykiwanie złośliwego kodu SQL.
Ocena ryzyka
Podatność ta pozwala nieautoryzowanym użytkownikom na odczytanie całej zawartości bazy danych, w tym tabel niezwiązanych z zapytanym modelem, co stanowi poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 0.23.0, która zawiera poprawkę eliminującą tę podatność oraz wprowadzenie dodatkowych mechanizmów walidacji danych wejściowych.
Powiązane podatności
- CVE-2026-97670Krytyczne
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.
- CVE-2026-103889Krytyczne
Wtyczka 3D Product configurator dla WooCommerce do wersji 2.16.2 włącznie jest podatna na zdalne wykonanie kodu przez parametr 'xpv_image'. Brak uwierzytelniania i kontroli nonce w handlerze wp_loaded oraz brak sanityzacji parametru przed wstawieniem do szablonu HTML renderowanego przez Dompdf z włączonym PHP umożliwia nieuwierzytelnionym atakującym wykonanie kodu na serwerze.
- CVE-2026-94589Krytyczne
Wtyczka Extensions For CF7 do wersji 3.4.5 włącznie jest podatna na dowolne wgrywanie plików przez funkcję extcf7_submit. Brak walidacji rozszerzenia, typu MIME i rozmiaru pliku w polu podpisu, brak zabezpieczeń przed wykonywaniem PHP w katalogu upload oraz obejście sanitize_file_name() umożliwiają nieuwierzytelnionym atakującym wgrywanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-107645Krytyczne
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
- CVE-2026-104732Krytyczne
Wtyczka Advanced IP Blocker do wersji 8.13.13 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_login_action() nie sprawdza po stronie serwera, czy użytkownik przeszedł pierwszy etap logowania hasłem, a błąd w funkcji generuje nonce dla każdego nieuwierzytelnionego wywołania. Umożliwia to atakującym brute-force'owanie 6-cyfrowego kodu TOTP bez ograniczeń i uzyskanie w pełni uwierzytelnionej sesji dla dowolnego konta z włączoną 2FA, w tym administratorów.
- CVE-2026-108474Krytyczne
W JetBrains Exposed przed wersją 1.5.1 możliwy był atak SQL injection przez niepoprawnie escapowane argumenty string w kilku funkcjach SQL.
- CVE-2026-108269Krytyczne
W wersjach przed 0.5.0 biblioteki Remote Attestation TLS Clients dla Rusta i Go, weryfikatory wyzwań RA-TLS akceptowały cytaty (quote) powiązane z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący, który zdobył klucz prywatny TLS enklawy, mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w wersji 0.5.0.
- CVE-2026-108268Krytyczne
W wersjach przed tdx-v0.2.43 i tdx-gpu-v0.6.27, Enclave OS Virtual umieszczał hash klucza publicznego certyfikatu i nonce klienta w polu ReportData cytatu, ale pomijał wartość powiązaną z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w tdx-v0.2.43 i tdx-gpu-v0.6.27.
- CVE-2026-108267Krytyczne
W wersjach przed privasys-v0.5.1-go1.26.5, Privasys Go (fork języka Go z obsługą RA-TLS) w trybie wyzwania wiązał pole ReportData cytatu z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w privasys-v0.5.1-go1.26.5.
- CVE-2026-108266Krytyczne
W wersjach przed privasys-v0.8.1, Privasys rustls (fork biblioteki rustls z obsługą RA-TLS) emitował certyfikaty wyzwania RA-TLS, których pole ReportData cytatu było powiązane z kluczem publicznym certyfikatu i nonce klienta, ale nie z aktywną sesją TLS. Atakujący z kluczem prywatnym TLS enklawy mógł przenieść prawdziwy cytat na inne połączenie, powodując akceptację połączenia zakończonego przez atakującego jako uwierzytelnionej enklawy. Problem naprawiono w privasys-v0.8.1.
Oryginalny opis (angielski, źródło NVD)
Ormar is a async mini ORM for Python. In versions 0.9.9 through 0.22.0, when performing aggregate queries, Ormar ORM constructs SQL expressions by passing user-supplied column names directly into `sqlalchemy.text()` without any validation or sanitization. The `min()` and `max()` methods in the `QuerySet` class accept arbitrary string input as the column parameter. While `sum()` and `avg()` are partially protected by an `is_numeric` type check that rejects non-existent fields, `min()` and `max()` skip this validation entirely. As a result, an attacker-controlled string is embedded as raw SQL inside the aggregate function call. Any unauthorized user can exploit this vulnerability to read the entire database contents, including tables unrelated to the queried model, by injecting a subquery as the column parameter. Version 0.23.0 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS