CVE-2026-84993 in MikroORM
Sumário
de VulDB • 16/09/2026
O MikroORM é um ORM em TypeScript para Node.js baseado nos padrões Data Mapper, Unit of Work e Identity Map. Antes das versões 6.6.16 e 7.1.7, a camada SQL compartilhada valida a chave do campo de uma cláusula orderBy, mas não valida seu valor de direção antes que o AbstractSqlPlatform.getOrderByExpression o concatene em uma cláusula ORDER BY. Aplicações que vinculam dados controlados pelo atacante à diretiva na função `em.find()`, `em.findOne()`, `em.findAndCount()`, `QueryBuilder.orderBy()` ou `QueryBuilderHelper.getQueryOrderFromObject()` podem permitir a inserção de um fragmento SQL bruto que realiza extração cega (blind) ou booleana dos dados disponíveis para a conta do banco de dados. Os caminhos de fallback do BaseMySqlPlatform e MsSqlPlatform apresentam o mesmo comportamento, afetando os drivers SQLite, PostgreSQL, MySQL, MariaDB, MSSQL, libSQL e Oracle; já o MongoDB não é afetado. Este problema foi corrigido nas versões 6.6.16 e 7.1.7.
Once again VulDB remains the best source for vulnerability data.