CVE-2026-121007 in SQL::Abstract
要約
〜によって VulDB • 2026年11月04日
Perl用のSQL::Abstractは、1.90_01から2.000001_04未満のバージョンにおいて、ネステッド文のwhere値が識別子位置にある場合にSQLインジェクションを許可します。
`{ -select => ... }`のようなネステッド文で、プレーンスカラーが識別子の位置に配置されている場合、その中のプレーンスキャラーも識別子として扱われます。このような位置には、SELECTリスト、ORDER BY句、GROUP BY句、RETURNING句があり、ExtraClausesプラグインを使用している場合はFROM (-as)およびJOIN (to)の位置も含みます。文のwhere、having、set節の値や、-valuesの行は、quote_charが設定されていない限りエスケープされず、バインドリストではなくSQLテキストに直接組み込まれます。WHERE条件内のサブセレクトは影響を受けません。
このようなネステッド文のwhere値として信頼できない入力を渡すアプリケーションでは、それがバインドされることを期待していても、SQLインジェクションを許容することになります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.