CVE-2026-46645

SQLAdmin to elastyczny interfejs administracyjny dla modeli SQLAlchemy. Przed wersją 0.27.1, ModelView.sort_query w sqladmin/models.py akceptuje kontrolowany przez atakującego parametr listy sortBy bez egzekwowania listy dozwolonych kolumn column_sortable_list po stronie serwera w self._sort_fields. Wartość jest rozwiązywana przez getattr i przekazywana do złączeń relacji i order_by, co pozwala na sortowanie według kolumn ukrytych przed column_list oraz według kolumn powiązanych modeli przez ścieżki z kropkami. Wynikowa kolejność wierszy stanowi wyrocznię ujawniania informacji o nieujawnionych wartościach, a odwrócenie kolejności rosnącej i malejącej potwierdza ich względne uporządkowanie. Połączenie sortBy z kolumnami przeszukiwalnymi lub filtrowalnymi oraz paginacją może zawęzić wyrocznię do konkretnych wartości, ale dokładne odzyskanie zależy od dostępnych pól i danych aplikacji. Problem naprawiono w wersji 0.27.1.