CVE-2022-24815

JHipster müasir veb tətbiqlərini və mikroservis arxitekturalarını sürətlə yaratmaq, inkişaf etdirmək və yerləşdirmək üçün nəzərdə tutulmuş inkişaf platformasıdır. "reactive with Spring WebFlux" seçimi aktiv edilmiş və r2dbc istifadə edən SQL verilənlər bazasına malik tətbiqlərin entitilərində SQL Injection zəifliyi aşkar edilmişdir. "reactive with Spring WebFlux" olmadan yaradılan tətbiqlər və NoSQL verilənlər bazaları olan tətbiqlər bu problemdən təsirlənmir. Təsirə məruz qalan versiya ilə mikroservis Gateway-i yaradan istifadəçilər risk altında ola bilər, çünki Gateway-lər standart olaraq reaktivdir. Hazırda, bu tətbiqlərdə yaradılmış entiti repozitoriya sinfinin findAllBy(Pageable pageable, Criteria criteria) metodunda SQL injection mümkündür, çünki sorğular üçün Criteria istifadə edilən where bəndləri təmizlənmir və istifadəçi girişi kriteriyalar vasitəsilə olduğu kimi ötürülür. Bu problem v7.8.1 versiyasında düzəldilmişdir. Yeniləmə imkanı olmayan istifadəçilər kriteriyaları və şərtləri birləşdirərkən diqqətli olmalıdırlar, çünki problemin kökü `EntityManager.java` sinfində `Conditions.just(criteria.toString())` vasitəsilə where bəndinin yaradılması zamanı yaranır. `just` metodu təqdim olunan hərfi sətiri qəbul edir. Criteria-nın `toString` metodu sadə bir sətir qaytarır və bu kombinasiya SQL injection-a qarşı həssasdır, çünki sətir təmizlənmir və istifadəçinin daxil etdiyi hər hansı adi SQL ifadəsini ehtiva edəcəkdir.