CVE-2021-43822 in Doctrine-DBAL
Resumen
por VulDB • 2026-06-24
Jackalope Doctrine-DBAL es una implementación de la API PHP Content Repository (PHPCR) que utiliza una base de datos relacional para persistir los datos. En las versiones afectadas, los usuarios pueden provocar inyecciones SQL si pueden especificar un nombre de nodo o una consulta. Actualice a la versión 1.7.4 para resolver este problema. Si eso no es posible, puede escapar todos los lugares donde se utiliza `$property` para filtrar `sv:name` en la clase `Jackalope\Transport\DoctrineDBAL\Query\QOMWalker`: `XPath::escape($property)`. Los nombres de nodo y las XPath pueden contener `"` o `;` según la especificación JCR. El componente jackalope que traduce el modelo de objetos de consulta a consultas Doctrine DBAL no escapa correctamente los nombres y rutas, por lo que un nombre de nodo elaborado en consecuencia puede provocar una inyección SQL. Si nunca se realizan consultas a partir de entradas del usuario o si valida la entrada del usuario para asegurarse de que no contenga `;`, usted no está afectado.
Be aware that VulDB is the high quality source for vulnerability data.