CVE-2026-54658
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W Hypequery przed wersją 2.5.1 funkcja escapeValue() nie poprawnie escapowała backslashy przed pojedynczymi cudzysłowami podczas podstawiania parametrów, co pozwalało na wstrzyknięcie dowolnego SQL przez parametry z trailing backslash. Poprawka w wersji 2.0.2 dotyczy tylko parametrów string, a pełna poprawka wszystkich wektorów jest w wersji 2.5.1.
Ocena ryzyka
Atakujący może manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.
Rekomendacja
Zaktualizuj Hypequery do wersji 2.5.1 lub nowszej. Dla wersji 2.0.2-2.5.0, serializuj parametry nie-skalarne przez JSON.stringify() jako tymczasowe obejście.
Oryginalny opis (angielski, źródło NVD)
Hypequery is a TypeScript semantic layer for ClickHouse. Prior to 2.5.1, escapeValue() in packages/clickhouse/src/core/utils.ts did not escape backslashes before single quotes during parameter substitution, allowing attacker controlled query parameters with a trailing backslash to escape the closing quote and inject arbitrary SQL. This issue is fixed in version 2.0.2. Version 2.0.2 fixes string parameters, while version 2.5.1 fixes all known vectors. Upgrading to 2.5.1 or later is the only complete fix. In versions 2.0.2 through 2.5.0, serializing non-scalar parameters with JSON.stringify() before passing them is a workaround for the object/array vector only.