CVE-2026-44680
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
W bibliotece MikroORM przed wersjami @mikro-orm/knex 6.6.14 i @mikro-orm/sql 7.0.14, funkcje cytowania identyfikatorów oraz emitery ścieżek JSON nieprawidłowo escapują znaki specjalne. Aplikacja przekazująca dane od atakującego do publicznych API ORM może doprowadzić do wstrzyknięcia SQL.
Ocena ryzyka
Podatność umożliwia atakującemu wstrzyknięcie dowolnego kodu SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych w bazie.
Rekomendacja
Należy zaktualizować pakiety @mikro-orm/knex do wersji 6.6.14 lub nowszej oraz @mikro-orm/sql do wersji 7.0.14 lub nowszej.
Inne podatności w MikroORM
Zobacz wszystkie- CVE-2026-34221Krytyczne
MikroORM przed wersjami 6.6.10 i 7.0.6 zawiera podatność na zanieczyszczenie prototypu w funkcji pomocniczej Utils.merge używanej wewnętrznie podczas scalania struktur obiektów. Funkcja nie zapobiega użyciu specjalnych kluczy, takich jak __proto__, constructor czy prototype, co pozwala na modyfikację prototypu obiektu JavaScript przez kontrolowane przez atakującego dane wejściowe.
- CVE-2026-34220Krytyczne
MikroORM, TypeScript ORM dla Node.js, zawiera podatność na wstrzykiwanie SQL w wersjach przed 6.6.10 i 7.0.6. Specjalnie spreparowane obiekty są interpretowane jako surowe fragmenty zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
MikroORM is a TypeScript ORM for Node.js based on Data Mapper, Unit of Work and Identity Map patterns. Prior to @mikro-orm/knex 6.6.14 and @mikro-orm/sql 7.0.14, MikroORM's identifier-quoting helper (Platform.quoteIdentifier and the postgres/mssql overrides) and its JSON-path emitters (Platform.getSearchJsonPropertyKey, quoteJsonKey) did not properly escape characters that delimit the SQL identifier or string-literal context they emit into. When application code passes attacker-influenced strings to public ORM APIs that expect an identifier or a JSON-property filter, an attacker can break out of the quoted context and inject arbitrary SQL. This vulnerability is fixed in @mikro-orm/knex 6.6.14 and @mikro-orm/sql 7.0.14.