CVE-2026-26198
KrytyczneStreszczenie
Ormar to asynchroniczny mini ORM dla Pythona. W wersjach od 0.9.9 do 0.22.0, podczas wykonywania zapytań agregacyjnych, Ormar ORM wprowadza nazwy kolumn dostarczone przez użytkownika bez walidacji lub sanitizacji, co umożliwia atakującym wstrzykiwanie złośliwego kodu SQL.
Ocena ryzyka
Podatność ta pozwala nieautoryzowanym użytkownikom na odczytanie całej zawartości bazy danych, w tym tabel niezwiązanych z zapytanym modelem, co stanowi poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 0.23.0, która zawiera poprawkę eliminującą tę podatność oraz wprowadzenie dodatkowych mechanizmów walidacji danych wejściowych.
Powiązane podatności
- CVE-2026-58490Krytyczne
W wdrożeniach Tracecat opartych na Docker Compose z włączonym SAML, w wersjach od 0.37.0 do 1.0.0-beta.49, zmienne SAML_SIGNED_ASSERTIONS i SAML_SIGNED_RESPONSES mogą być puste, co wyłącza wymóg podpisywania asercji i odpowiedzi SAML. Nieuwierzytelniony atakujący może przesłać sfałszowaną niepodpisaną odpowiedź SAML dla istniejącego adresu e-mail użytkownika i przejąć jego sesję, w tym konto superadministratora.
- CVE-2026-71495Krytyczne
W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.
- CVE-2026-19868NieznaneAktywnie exploitowane
Podatność w usłudze SSLVPN systemu SonicOS pozwala użytkownikowi posiadającemu ważne dane logowania do alternatywnej metody uwierzytelniania obejść kontrolę uwierzytelniania SAML. Udana eksploatacja może również ominąć wymuszane przez SAML uwierzytelnianie wieloskładnikowe (MFA).
- CVE-2026-119923Krytyczne
Przepełnienie bufora na stercie w parserze prelogin TDS w rozszerzeniu Babelfish for PostgreSQL (wersje 1.0-1.5, 2.1-2.15, 3.1-3.12, 4.0-4.8, 5.1-5.4) oraz w Amazon Aurora PostgreSQL z Babelfish może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik procesu bazy danych poprzez specjalnie spreparowany zniekształcony pakiet prelogin TDS wysłany na port TDS. Rekord obejmuje również powiązane znalezisko dereferencji wskaźnika NULL w tym samym parserze.
- CVE-2026-123832Krytyczne
W JetBrains CLion przed wersją 2026.2 możliwe było wykonanie kodu w trybie Safe Mode poprzez bazę kompilacji JSON (JSON compilation database). Luka pozwala na uruchomienie dowolnego kodu mimo włączonego trybu bezpiecznego.
- CVE-2026-123831Krytyczne
W JetBrains CLion przed wersjami 2026.2 i 2026.1.4 możliwe było wykonanie kodu w trybie Safe Mode poprzez ustawienia projektu Meson. Luka omija zabezpieczenia trybu bezpiecznego.
- CVE-2026-122193Krytyczne
W Trusted Remote Execution (REX) przed 2026-07-28 przykładowy skrypt provisioningowy dokumentu SSM zawiera podatność na wstrzyknięcie poleceń systemowych. Uwierzytelniony zdalny użytkownik uprawniony do wywołania dokumentu Rex-RO lub Rex-RW może wykonać dowolne polecenia jako root na zarządzanej instancji, omijając egzekwowanie polityki Cedar.
- CVE-2026-59105Krytyczne
Jumis (dawniej Tildes Jumis) tworzy konto logowania Microsoft SQL Server o nazwie ##Tilde_JumisAdmin##, którego hasło jest wyliczane deterministycznie z jednego niejawnego wejścia — nazwy serwera SQL (@@servername). Algorytm wyprowadzania hasła jest zaszyty w aplikacji klienckiej i identyczny w każdej instalacji, a zawiera wbudowany klucz tajny. Ponieważ jedyne wejście (nazwa serwera) nie jest tajne, każda osoba mogąca połączyć się z serwerem SQL Jumis może obliczyć hasło offline i uwierzytelnić się.
- CVE-2026-123488Krytyczne
Craft CMS w wersjach 4.0.0 do 4.18.9 oraz 5.0.0 do 5.11.2 zawiera nieuwierzytelnioną podatność SQL injection w punkcie końcowym wyszukiwania elementów, ponieważ parametr attribute jest wstawiany do zapytania bez sanityzacji, a emulowane przygotowania PDO pozwalają na łączenie instrukcji. Zdalni atakujący mogą odczytywać i zapisywać bazę danych, ustawiając flagę administratora lub nadpisując hasła w tabeli użytkowników, aby uzyskać dostęp administracyjny.
- CVE-2026-114630Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji factory_reset we wszystkich wersjach do 3.3.8 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Podatność jest wykorzystywana w dwuetapowym łańcuchu: najpierw zapisanie wartości ticket_attachment_path przez publiczny endpoint AJAX, a następnie wywołanie resetu fabrycznego przez żądanie GET.
Oryginalny opis (angielski, źródło NVD)
Ormar is a async mini ORM for Python. In versions 0.9.9 through 0.22.0, when performing aggregate queries, Ormar ORM constructs SQL expressions by passing user-supplied column names directly into `sqlalchemy.text()` without any validation or sanitization. The `min()` and `max()` methods in the `QuerySet` class accept arbitrary string input as the column parameter. While `sum()` and `avg()` are partially protected by an `is_numeric` type check that rejects non-existent fields, `min()` and `max()` skip this validation entirely. As a result, an attacker-controlled string is embedded as raw SQL inside the aggregate function call. Any unauthorized user can exploit this vulnerability to read the entire database contents, including tables unrelated to the queried model, by injecting a subquery as the column parameter. Version 0.23.0 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS