CVE-2026-59893

Podatność w sqlparse (parser SQL dla Pythona) przed wersją 0.6.0 powoduje nadmierne zużycie CPU podczas formatowania zapytań z nawiasowymi listami krotek, co może prowadzić do opóźnień w przetwarzaniu żądań i zmniejszenia przepustowości.

sqlparse to moduł parsera SQL dla Pythona, który nie waliduje składni. Przed wersją 0.6.0 funkcja group_comments w sqlparse/engine/grouping.py wielokrotnie skanuje komentarze przed zabezpieczeniem MAX_GROUPING_TOKENS, co powoduje kwadratowe zużycie CPU podczas wywołań sqlparse.parse() i sqlparse.format(sql, strip_comments=True). Problem został naprawiony w wersji 0.6.0.

sqlparse przed wersją 0.6.0 ma podatność w sqlparse/filters/output.py, która nie escapuje istniejących backslashów przed cudzysłowami w formatach wyjściowych 'python' i 'php' oraz odpowiadających im trybach sqlformat -l, co pozwala spreparowanemu SQL na zakończenie wygenerowanego stringa i wstrzyknięcie kodu Python lub PHP, gdy konsument wykona lub zaimportuje wygenerowany kod.

sqlparse przed wersją 0.6.0 ma problem z wydajnością: konstrukcja TokenList i konwersja na string w sqlparse/sql.py wielokrotnie spłaszcza zagnieżdżone poddrzewa tokenów tworzone przez group_parenthesis i group_case, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split() zanim limity głębokości i tokenów przerwą przetwarzanie. Problem naprawiono w wersji 0.6.0.