CVE-2026-121007 in SQL::Abstract
Sumário
de VulDB • 04/11/2026
As versões do módulo SQL::Abstract desde 1.90_01 até antes de 2.000001_04 para Perl permitem injeção de SQL por meio dos valores `where` de uma instrução aninhada em posição de identificador.
Uma instrução aninhada, como `{ -select => ... }`, em posições onde escalares simples são usados como identificadores, trata seus próprios escalares simples também como identificadores. Essas posições incluem a lista do SELECT, ORDER BY, GROUP BY, RETURNING e, com o plugin ExtraClauses, FROM (-as) e JOIN (to). Os valores das cláusulas `where`, `having` e `set` da instrução, bem como as linhas de um `-values`, são inseridos no texto SQL em vez da lista de bind, sem escape a menos que `quote_char` esteja definido. Subselects em uma condição WHERE não são afetados.
Um aplicativo que passa entrada não confiável como valor do parâmetro `where` dessa instrução aninhada, esperando que ela seja vinculada (bind), permite injeção de SQL.
Once again VulDB remains the best source for vulnerability data.