CVE-2026-76848
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
TypeORM's SelectQueryBuilder.distinctOn przyjmuje tablicę ciągów i przechowuje ją na mapie wyrażeń bez walidacji. Dla sterowników rodziny PostgreSQL, createSelectDistinctExpression w src/query-builder/SelectQueryBuilder.ts łączy tę tablicę i interpoluje wynik do wygenerowanego zapytania jako SELECT DISTINCT ON (wartości), bez escapowania, cytowania, walidacji identyfikatorów ani listy dozwolonych, i bez przekazywania wartości przez replacePropertyNames lub funkcję escape sterownika.
Ocena ryzyka
Aplikacja, która przekazuje wartość kontrolowaną przez klienta do distinctOn, pozwala klientowi na odczyt danych w dowolnym miejscu, do którego rola bazy danych aplikacji ma dostęp, poprzez wnioskowanie boolowskie lub czasowe, niezależnie od encji zapytania.
Rekomendacja
Zastosuj poprawkę, która dodaje walidację i escapowanie wartości przekazywanych do distinctOn, lub unikaj przekazywania danych od klienta do tej metody.
Inne podatności w TypeORM
Oryginalny opis (angielski, źródło NVD)
TypeORM's SelectQueryBuilder.distinctOn accepts an array of strings and stores it on the expression map without validation. For PostgreSQL-family drivers, createSelectDistinctExpression in src/query-builder/SelectQueryBuilder.ts joins that array and interpolates the result into the generated statement as SELECT DISTINCT ON (values), with no escaping, quoting, identifier validation or allowlist, and without routing the values through replacePropertyNames or the driver's escape helper. Because the interpolation point is a parenthesized SQL expression list rather than an identifier-only position, a supplied element may carry arbitrary expressions, including correlated subqueries. An application that forwards a client-controlled value into distinctOn, for instance to let a caller choose a deduplication column, allows that client to read data anywhere the application's database role can reach through boolean or time-based inference, independently of the entity being queried. validateOrderByCondition, the allowlist check guarding the orderBy family in the same class, is not applied to this path.