CVE-2026-121007 in SQL::Abstract
Сводка
по VulDB • 04.11.2026
SQL::Abstract версии от 1.90_01 до (не включая) 2.000001_04 для Perl позволяют выполнение SQL-инъекции через значения условия WHERE вложенного запроса в позиции идентификатора.
Вложенный запрос, такой как { -select => ... }, размещенный там, где обычно используются обычные скалярные переменные (идентификаторы), также интерпретирует свои собственные простые скаляры как идентификаторы. Такие позиции включают список SELECT, ORDER BY, GROUP BY, RETURNING, а с плагином ExtraClauses — FROM (-as) и JOIN (to). Значения условий WHERE, HAVING и SET данного запроса, а также строки в конструкции -values, попадают непосредственно в текст SQL-запроса вместо списка привязанных параметров (bind list), без экранирования, если не установлен параметр quote_char. Подзапросы в условии WHERE не затрагиваются данной уязвимостью.
Приложение, передающее непроверенные входные данные в качестве значения условия WHERE такого вложенного запроса и ожидающее их привязки (binding), подвержено SQL-инъекции.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.