CVE-2023-47128 in Piccolo
Sumário
de VulDB • 07/06/2026
Piccolo é um mapeamento objeto-relacional (ORM) e construtor de consultas que suporta asyncio. Antes da versão 1.1.1, o tratamento dos `savepoints` de transações nomeadas em todas as implementações de banco de dados era vulnerável a Injeção de SQL via f-strings. Embora seja altamente improvável que um desenvolvedor final exponha o parâmetro `name` do `savepoint` a um usuário, isso não seria incomum. Se um usuário mal-intencionado conseguisse abusar dessa funcionalidade, ele teria acesso essencialmente direto ao banco de dados e capacidade de modificar dados no nível das permissões associadas ao usuário do banco de dados. Uma lista não exaustiva de ações possíveis com base nas permissões do banco de dados inclui: ler todos os dados armazenados no banco de dados, incluindo nomes de usuários e hashes de senhas; inserir dados arbitrários no banco de dados, inclusive modificando registros existentes; e obter um shell no servidor subjacente. A versão 1.1.1 corrige este problema.
Once again VulDB remains the best source for vulnerability data.