CVE-2026-26198

Ormar, Python üçün asinxron mini ORM-dir. 0.9.9 və 0.22.0 versiyaları arasında aqreqat sorğuları yerinə yetirilərkən, Ormar ORM istifadəçi tərəfindən təqdim edilən sütun adlarını heç bir yoxlama və ya təmizləmə aparmadan birbaşa `sqlalchemy.text()` funksiyasına ötürərək SQL ifadələri qurur. `QuerySet` sinifindəki `min()` və `max()` metodları sütun parametri kimi ixtiyari sətir girişini qəbul edir. `sum()` və `avg()` metodları mövcud olmayan sahələri rədd edən `is_numeric` tip yoxlaması ilə qismən qorunsa da, `min()` və `max()` metodları bu yoxlamanı tamamilə ötürür. Nəticədə, hücumçu tərəfindən idarə olunan sətir aqreqat funksiyasının çağırışı daxilində xam SQL kimi yerləşdirilir. Hər hansı səlahiyyətsiz istifadəçi, sütun parametri kimi alt-sorğu (subquery) inyeksiya etməklə, sorğu edilən modelə aid olmayan cədvələr də daxil olmaqla bütün verilənlər bazasının məzmununu oxumaq üçün bu zəiflikdən istifadə edə bilər. 0.23.0 versiyasında düzəliş tətbiq edilmişdir.