CVE-2026-84305

sqlparse to moduł parsera SQL dla Pythona, który nie waliduje składni. Przed wersją 0.6.0 funkcja group_comments w sqlparse/engine/grouping.py wielokrotnie skanuje komentarze przed zabezpieczeniem MAX_GROUPING_TOKENS, co powoduje kwadratowe zużycie CPU podczas wywołań sqlparse.parse() i sqlparse.format(sql, strip_comments=True). Problem został naprawiony w wersji 0.6.0.

sqlparse przed wersją 0.6.0 ma podatność w sqlparse/filters/output.py, która nie escapuje istniejących backslashów przed cudzysłowami w formatach wyjściowych 'python' i 'php' oraz odpowiadających im trybach sqlformat -l, co pozwala spreparowanemu SQL na zakończenie wygenerowanego stringa i wstrzyknięcie kodu Python lub PHP, gdy konsument wykona lub zaimportuje wygenerowany kod.

sqlparse przed wersją 0.6.0 ma problem z wydajnością: SQL_REGEX w sqlparse/keywords.py oraz pętla per-position w sqlparse/lexer.py wielokrotnie skanują niedopasowane literały dollar-quoted i ograniczniki komentarzy wieloliniowych, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split(). Problem naprawiono w wersji 0.6.0.

sqlparse przed wersją 0.6.0 ma problem z wydajnością: konstrukcja TokenList i konwersja na string w sqlparse/sql.py wielokrotnie spłaszcza zagnieżdżone poddrzewa tokenów tworzone przez group_parenthesis i group_case, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split() zanim limity głębokości i tokenów przerwą przetwarzanie. Problem naprawiono w wersji 0.6.0.