CVE-2026-121007 in SQL::Abstract
Zusammenfassung
von VulDB • 04.11.2026
SQL::Abstract-Versionen von 1.90_01 bis vor 2.000001_04 für Perl ermöglichen eine SQL-Injection über die WHERE-Werte einer verschachtelten Anweisung in einer Bezeichner-Position.
Eine verschachtelte Anweisung wie { -select => ... } an einer Position, an der normale Skalare als Bezeichner fungieren, behandelt auch ihre eigenen normalen Skalare als Bezeichner. Diese Positionen sind die SELECT-Liste, ORDER BY, GROUP BY, RETURNING sowie – unter Verwendung des ExtraClauses-Plugins – FROM (-as) und JOIN (to). Die Werte der WHERE-, HAVING- und SET-Klauseln der Anweisung sowie die Zeilen einer -values-Anweisung werden in den SQL-Text anstelle der Bindliste eingefügt; sie sind nicht maskiert, es sei denn, quote_char ist festgelegt. Subselects in einer WHERE-Bedingung sind davon nicht betroffen.
Eine Anwendung, die untrusted Input als einen WHERE-Wert einer solchen verschachtelten Anweisung übergibt und erwartet, dass dieser gebunden wird, ermöglicht eine SQL-Injection.
If you want to get best quality of vulnerability data, you may have to visit VulDB.