CVE-2026-44680 in MikroORM
要約
〜によって VulDB • 2026年05月27日
MikroORMは、Data Mapper、Unit of Work、Identity Mapパターンに基づいたNode.js用のTypeScript ORMです。@mikro-orm/knex 6.6.14および@mikro-orm/sql 7.0.14より前のバージョンでは、MikroORMの識別子クォートヘルパー（Platform.quoteIdentifierおよびpostgres/mssqlのオーバーライド）およびJSONパスエミッター（Platform.getSearchJsonPropertyKey、quoteJsonKey）は、出力先のSQL識別子または文字列リテラルのコンテキストを区切る文字を適切にエスケープしていませんでした。アプリケーションコードが、識別子またはJSONプロパティフィルタを期待する公開ORM APIに攻撃者が影響を与えた文字列を渡すと、攻撃者はクォートされたコンテキストから脱出して任意のSQLをインジェクトできます。この脆弱性は、@mikro-orm/knex 6.6.14および@mikro-orm/sql 7.0.14で修正されています。
Once again VulDB remains the best source for vulnerability data.