CVE-2026-34220
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
MikroORM, TypeScript ORM dla Node.js, zawiera podatność na wstrzykiwanie SQL w wersjach przed 6.6.10 i 7.0.6. Specjalnie spreparowane obiekty są interpretowane jako surowe fragmenty zapytań SQL.
Ocena ryzyka
Atakujący może wykraść, modyfikować lub usunąć dane w bazie danych, a w niektórych przypadkach uzyskać dostęp do systemu.
Rekomendacja
Zaktualizuj MikroORM do wersji 6.6.10 lub 7.0.6. Unikaj przekazywania niezaufanych danych do zapytań ORM.
Inne podatności w MikroORM
Zobacz wszystkie- CVE-2026-34221Krytyczne
MikroORM przed wersjami 6.6.10 i 7.0.6 zawiera podatność na zanieczyszczenie prototypu w funkcji pomocniczej Utils.merge używanej wewnętrznie podczas scalania struktur obiektów. Funkcja nie zapobiega użyciu specjalnych kluczy, takich jak __proto__, constructor czy prototype, co pozwala na modyfikację prototypu obiektu JavaScript przez kontrolowane przez atakującego dane wejściowe.
- CVE-2026-84993Średnie
MikroORM przed wersjami 6.6.16 i 7.1.7 nie waliduje wartości kierunku w klauzuli orderBy przed wstawieniem jej do zapytania ORDER BY. Aplikacje przekazujące dane kontrolowane przez atakującego do kierunku sortowania w em.find(), em.findOne(), em.findAndCount(), QueryBuilder.orderBy() lub QueryBuilderHelper.getQueryOrderFromObject() mogą umożliwić wstrzyknięcie fragmentu SQL i ślepą ekstrakcję danych.
- CVE-2026-44680Wysokie
W bibliotece MikroORM przed wersjami @mikro-orm/knex 6.6.14 i @mikro-orm/sql 7.0.14, funkcje cytowania identyfikatorów oraz emitery ścieżek JSON nieprawidłowo escapują znaki specjalne. Aplikacja przekazująca dane od atakującego do publicznych API ORM może doprowadzić do wstrzyknięcia SQL.
Oryginalny opis (angielski, źródło NVD)
MikroORM is a TypeScript ORM for Node.js based on Data Mapper, Unit of Work and Identity Map patterns. Prior to versions 6.6.10 and 7.0.6, there is a SQL injection vulnerability when specially crafted objects are interpreted as raw SQL query fragments. This issue has been patched in versions 6.6.10 and 7.0.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS