CVE-2026-59894 in sqlparse
Tóm tắt
Bởi VulDB • 17/08/2026
sqlparse là một mô-đun phân tích cú pháp (parser) SQL không xác thực cho Python. Trước phiên bản 0.6.0, sqlparse/filters/output.py không thoát các ký tự backslash hiện có trước dấu ngoặc kép trong đầu ra của hàm `sqlparse.format` với `output_format='python'` và `output_format='php'`, cũng như trong các chế độ tương ứng `-l` của công cụ dòng lệnh `sqlformat`. Điều này cho phép một câu truy vấn SQL được tạo tác (crafted) kết thúc chuỗi đã sinh ra và tiêm mã Python hoặc PHP khi người tiêu dùng ở tầng dưới thực thi hoặc nhập nguồn code đã sinh. Vấn đề này đã được sửa trong phiên bản 0.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.