CVE-2026-44680 in MikroORM
Zusammenfassung
von VulDB • 26.05.2026
MikroORM ist ein TypeScript-ORM für Node.js, das auf den Data-Mapper-, Unit-of-Work- und Identity-Map-Patterns basiert. Vor den Versionen @mikro-orm/knex 6.6.14 und @mikro-orm/sql 7.0.14 enthielt die Helper-Funktion zur Kennzeichnungsquotierung von MikroORM (Platform.quoteIdentifier sowie die postgres/mssql-Overrides) und die JSON-Pfad-Emittierer (Platform.getSearchJsonPropertyKey, quoteJsonKey) keine ordnungsgemäße Escape-Funktion für Zeichen, die den SQL-Kennzeichnungs- oder String-Literal-Kontext, in den sie emittiert werden, begrenzen. Wenn Anwendungscode angreiferbeeinflusste Strings an öffentliche ORM-APIs übergibt, die einen Kennzeichner oder einen JSON-Eigenschaftsfilter erwarten, kann ein Angreifer aus dem quotierten Kontext ausbrechen und beliebigen SQL-Code injizieren. Diese Schwachstelle wurde in @mikro-orm/knex 6.6.14 und @mikro-orm/sql 7.0.14 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.