CVE-2026-13766

Perl üçün DBIx::QuickORM-nin 0.000026 versiyasından əvvəlki versiyaları dırnağa alınmamış SQL identifikatorları vasitəsilə SQL inyeksiyasına yol açır. SQL::Abstract alt sinfi olan standart SQL qurucusu konstruktorunda bindtype parametrini təyin edir, lakin quote_char parametrini heç vaxt təyin etmir, buna görə də SQL::Abstract identifikatorları olduğu kimi ötürür. Çağırıcı tərəfindən təmin edilən identifikatorlar (order_by, where-clause sütun açarları, sahə və qaytarılan siyahılar, upsert sütunları və join alias-ları) SQL sətirinə olduğu kimi çatır, dəyərlər isə placeholder ilə bağlanaraq təsirə məruz qalmır. Etibarsız giriş məlumatlarını təsirlənmiş identifikator mövqeyinə, məsələn, istifadəçi tərəfindən idarə olunan order_by dəyərinə yönləndirən çağırıcı SQL inyeksiyasını mümkün edir: sətirlərin sırasının sorğu tərəfindən seçilməyən sütunlar üzərində alt-seçimdən (sub-select) asılı olması təmin edilə bilər, həmçinin where və update identifikator mövqeləri daha çox məlumatın ifşasına və dəyişdirilməsinə şərait yaradır.