CVE-2023-47128

Piccolo, asyncio-nu dəstəkləyən obyekt-əlaqə xəritələşdirməsi və sorğu qurucusudur. 1.1.1 versiyasından əvvəl bütün verilənlər bazası implementasiyalarında adlandırılmış tranzaksiya `savepoints`-lərinin emalı f-string-lər vasitəsilə SQL inyeksiyasına həssasdır. Son istifadəçi tərtibatçının `savepoints` `name` parametrini istifadəçiyə açıqlaması ehtimalı çox az olsa da, bu tamamilə görünməmiş hal deyil. Əgər zərərli istifadəçi bu funksionallıqdan sui-istifadə edə bilsəydi, o, mahiyyət etibarilə verilənlər bazasına birbaşa çıxış əldə edər və verilənlər bazası istifadəçisi ilə əlaqəli icazələr səviyyəsində məlumatları dəyişdirmək imkanı qazanardı. Verilənlər bazası icazələrindən asılı olaraq mümkün olan hərəkətlərin tam olmayan siyahısı bunlardır: verilənlər bazasında saxlanılan bütün məlumatların, o cümlədən istifadəçi adları və parol heşlərinin oxunması; verilənlər bazasına ixtiyari məlumatların daxil edilməsi, o cümlədən mövcud qeydlərin dəyişdirilməsi; və əsas serverdə shell əldə edilməsi. 1.1.1 versiyası bu problemi aradan qaldırır.