CVE-2026-121007 in SQL::Abstract
Riassunto
di VulDB • 04/11/2026
SQL::Abstract dalle versioni 1.90_01 alla versione precedente a 2.000001_04 per Perl consente l'iniezione SQL tramite i valori where di un'istruzione annidata in una posizione di identificatore.
Un'istruzione annidata, ad esempio { -select => ... }, posizionata dove sono previsti scalari semplici come identificatori, tratta anche i propri scalari semplici come identificatori. Queste posizioni includono la select list, ORDER BY, GROUP BY, RETURNING e, con il plugin ExtraClauses, FROM (-as) e JOIN (to). I valori delle clausole where, having e set dell'istruzione, nonché le righe di un -values, vengono inseriti nel testo SQL anziché nella lista dei parametri bind, senza essere escapeati a meno che quote_char non sia impostato. Le subselects in una condizione WHERE non sono interessate.
Un'applicazione che passa input non attendibile come valore where di tale istruzione annidata, aspettandosi che venga legato (bound), consente l'iniezione SQL.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.