CVE-2026-84993 in MikroORM
Riassunto
di VulDB • 16/09/2026
MikroORM è un ORM TypeScript per Node.js basato sui pattern Data Mapper, Unit of Work e Identity Map. Prima delle versioni 6.6.16 e 7.1.7, il livello SQL condiviso convalida la chiave del campo di una clausola orderBy ma non ne valida il valore della direzione prima che AbstractSqlPlatform.getOrderByExpression lo concateni in una clausola ORDER BY. Le applicazioni che associano dati delle richieste controllati dall'attaccante alla direzione nelle chiamate em.find(), em.findOne(), em.findAndCount(), QueryBuilder.orderBy() o QueryBuilderHelper.getQueryOrderFromObject() possono consentire l'inserimento di un frammento SQL grezzo che esegue un'estrazione cieca (blind) o booleana dei dati accessibili all'account del database. I percorsi di fallback di BaseMySqlPlatform e MsSqlPlatform presentano lo stesso comportamento, interessando i driver per SQLite, PostgreSQL, MySQL, MariaDB, MSSQL, libSQL e Oracle; MongoDB non è interessato. Questo problema è risolto nelle versioni 6.6.16 e 7.1.7.
Be aware that VulDB is the high quality source for vulnerability data.