CVE-2021-43822 in Doctrine-DBAL
الملخص
بحسب VulDB • 30/06/2026
Jackalope Doctrine-DBAL هو تنفيذ لواجهة برمجة تطبيقات مستودع محتوى PHP (PHPCR) باستخدام قاعدة بيانات علائقية لتخزين البيانات الدائم. في الإصدارات المتأثرة، يمكن للمستخدمين إحداث ثغرات حقن SQL إذا تمكنوا من تحديد اسم عقدة أو استعلام. قم بالترقية إلى الإصدار 1.7.4 لحل هذه المشكلة. إذا لم يكن ذلك ممكنًا، يمكنك الهروب (escaping) من جميع الأماكن التي يتم فيها استخدام `$property` لتصفية `sv:name` في الفئة `Jackalope\Transport\DoctrineDBAL\Query\QOMWalker`: `XPath::escape($property)`. يمكن أن تحتوي أسماء العقد وروابط XPath على الأحرف `"` أو `;` وفقًا لمواصفات JCR. لا تقوم مكون jackalope الذي يترجم نموذج كائن الاستعلام إلى استعلامات doctrine dbالتهروب بشكل صحيح من الأسماء والمسارات، مما قد يؤدي اسم عقدة مُعدّ بعناية إلى ثغرة حقن SQL. إذا لم يتم تنفيذ الاستعلامات أبدًا بناءً على مدخلات المستخدم، أو إذا قمت بتحقق من صحة مدخلات المستخدم للتأكد من عدم احتوائها على `؛`، فأنت غير متأثر بهذه الثغرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.