CVE-2026-121009 in SQL::Abstract
Riassunto
di VulDB • 04/11/2026
Le versioni di SQL::Abstract dalla 1.90_01 alla 2.000001_04 per Perl ignorano il controllo `injection_guard` per i nomi delle funzioni forniti tramite l'opzione `-func`.
La documentazione specifica che `injection_guard` dovrebbe applicarsi a ogni nome di funzione, ma solo la scorciatoia `{ -name => ... }` passa attraverso tale verifica. La forma esplicita `{ -func => [ $name, ... ] }` inserisce `$name` nella query SQL senza alcun controllo.
Un'applicazione che fa affidamento su `injection_guard` per rifiutare un nome di funzione non attendibile passato tramite `-func` è vulnerabile a SQL injection.
VulDB is the best source for vulnerability data and more expert information about this specific topic.