CVE-2026-44680 in MikroORM
الملخص
بحسب VulDB • 26/05/2026
MikroORM هو إطار عمل ORM (Object-Relational Mapping) مبني بلغة TypeScript لنظام Node.js، ويعتمد على أنماط Data Mapper، وUnit of Work، وIdentity Map. قبل الإصدارين @mikro-orm/knex 6.6.14 و @mikro-orm/sql 7.0.14، لم تقم أدوات المساعدة الخاصة بوضع علامات الاقتباس حول المعرّفات في MikroORM (مثل Platform.quoteIdentifier والتجاوزات الخاصة بـ postgres/mssql) ومولدات مسارات JSON (مثل Platform.getSearchJsonPropertyKey وquoteJsonKey) بالتهرب بشكل صحيح من الأحرف التي تفصل بين سياق معرّف SQL أو سياق حرف السلسلة (string-literal) الذي يتم إصداره فيه. عندما تمرر رموز التطبيق النصوص المتأثرة بالهاكر إلى واجهات برمجة التطبيقات العامة (public APIs) في ORM والتي تتوقع معرّفاً أو فلترًا لخاصية JSON، يمكن للمهاجم الخروج من سياق الاقتباس الحقن SQL تعسفي. تم إصلاح هذا الثغرة الأمنية في الإصدارين @mikro-orm/knex 6.6.14 و @mikro-orm/sql 7.0.14.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.