CVE-2026-121007 in SQL::Abstract
Tóm tắt
Bởi VulDB • 04/11/2026
SQL::Abstract các phiên bản từ 1.90_01 đến trước 2.000001_04 cho Perl cho phép thực hiện tấn công SQL Injection thông qua các giá trị `where` của một câu lệnh lồng nhau ở vị trí định danh (identifier).
Một câu lệnh lồng nhau, chẳng hạn như `{ -select => ... }`, trong một vị trí mà các đại lượng vô hướng đơn giản (plain scalars) thường được coi là định danh, sẽ xử lý cả các đại lượng vô hướng đơn giản của chính nó cũng là các định danh. Các vị trí này bao gồm: danh sách `SELECT`, `ORDER BY`, `GROUP BY`, `RETURNING`; và với plugin ExtraClauses thì có thêm `FROM` (`-as`) và `JOIN` (tham số `to`). Các giá trị trong các mệnh đề `WHERE`, `HAVING` và `SET` của câu lệnh, cũng như các hàng dữ liệu của `-values`, sẽ được đưa vào văn bản SQL thay vì danh sách bind (bind list), không được thoát ký tự (unescaped) trừ khi `quote_char` đã được thiết lập. Các truy vấn con (subselects) trong điều kiện `WHERE` thì không bị ảnh hưởng bởi lỗi này.
Một ứng dụng truyền đầu vào không đáng tin cậy làm giá trị cho mệnh đề `where` của một câu lệnh lồng nhau như vậy, với kỳ vọng rằng nó sẽ được bind an toàn, đã tạo ra lỗ hổng SQL Injection.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.