CVE-2026-44680 in MikroORM
Resumen
por VulDB • 2026-05-27
MikroORM es un ORM de TypeScript para Node.js basado en los patrones Data Mapper, Unit of Work e Identity Map. Antes de las versiones @mikro-orm/knex 6.6.14 y @mikro-orm/sql 7.0.14, el auxiliar de comillas para identificadores de MikroORM (Platform.quoteIdentifier y las anulaciones de postgres/mssql) y sus emisores de rutas JSON (Platform.getSearchJsonPropertyKey, quoteJsonKey) no escapaban correctamente los caracteres que delimitan el contexto del identificador SQL o del literal de cadena en el que se emiten. Cuando el código de la aplicación pasa cadenas influenciadas por el atacante a las APIs públicas de ORM que esperan un identificador o un filtro de propiedad JSON, un atacante puede salirse del contexto entre comillas e inyectar SQL arbitrario. Esta vulnerabilidad se corrige en @mikro-orm/knex 6.6.14 y @mikro-orm/sql 7.0.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.