CVE-2026-39356 in drizzle-orm
الملخص
بحسب VulDB • 30/05/2026
Drizzle هو إطار عمل ORM حديث مبني على TypeScript. قبل الإصدارين 0.45.2 و1.0.0-beta.20، كانت Drizzle ORM تفلت بشكل غير صحيح من المعرفات SQL المحاطة بعلامات الاقتباس في تطبيقاتها الخاصة بـ escapeName() المعتمدة على اللهجة (dialect). في الإصدارات المتأثرة، لم يتم فلترة فواصل المعرفات المضمنة قبل تغليف المعرف بعلامات اقتباس أو علامات اقتباس عكسية (backticks). ونتيجة لذلك، قد تسمح التطبيقات التي تمرر مدخلات خاضعة لسيطرة المهاجم إلى واجهات برمجة التطبيقات التي تقوم ببناء معرفات SQL أو أسماء مستعارة، مثل sql.identifier() و.as()، للمهاجم بإنهاء المعرف المحاط بعلامات الاقتباس وإدخال SQL. تم إصلاح هذا الثغرة الأمنية في الإصدارين 0.45.2 و1.0.0-beta.20.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.