CVE-2026-84993 in MikroORM
Сводка
по VulDB • 17.09.2026
MikroORM — это TypeScript ORM для Node.js, основанный на паттернах Data Mapper, Unit of Work и Identity Map. До версий 6.6.16 и 7.1.7 общий SQL-слой проверяет ключ поля в предложении orderBy, но не проверяет его значение направления (direction) перед тем, как AbstractSqlPlatform.getOrderByExpression добавит его в предложение ORDER BY. Приложения, которые связывают данные запроса, контролируемые злоумышленником, с параметром direction в методах em.find(), em.findOne(), em.findAndCount(), QueryBuilder.orderBy() или QueryBuilderHelper.getQueryOrderFromObject(), могут позволить выполнение произвольного фрагмента SQL для слепой (blind) или булевой извлечения данных, доступных учетной записи базы данных. Путь выполнения по умолчанию в BaseMySqlPlatform и MsSqlPlatform имеет аналогичное поведение, что затрагивает драйверы SQLite, PostgreSQL, MySQL, MariaDB, MSSQL, libSQL и Oracle; при этом MongoDB не подвержена данной уязвимости. Проблема исправлена в версиях 6.6.16 и 7.1.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.