CVE-2026-27953

ormar, Python üçün asinxron mini ORM-dir. 0.23.0 və daha aşağı versiyalar model konstruktoru vasitəsilə Pydantic validasiyasından yan keçmə zəifliyinə malikdir ki, bu da hər hansı autentifikasiya olunmamış istifadəçiyə JSON sorğu gövdəsinə "__pk_only__": true yerləşdirməklə bütün sahələrin validasiyasını ötürməyə imkan verir. JSON sorğu gövdəsinə "__pk_only__": true yerləşdirməklə, autentifikasiya olunmamış hücumçu bütün sahə validasiyalarını ötürə və validasiya edilməmiş məlumatları birbaşa verilənlər bazasına yaza bilər. İkinci dərəcəli __excluded__ parametrinin inyeksiyası eyni şablondan istifadə edərək konstruksiya zamanı ixtiyari model sahələrini (məsələn, email və ya rol) seçici şəkildə sıfırlamağa (nullify) imkan verir. Bu problem ormar-ın rəsmi sənədlərində tövsiyə olunan kanonik FastAPI inteqrasiya nümunəsinə təsir edir və ormar.Model-dən birbaşa sorğu gövdəsi parametri kimi istifadə edən hər hansı tətbiqdə imtiyazların yüksəldilməsinə, məlumat bütövlüyünün pozulmasına və biznes məntiqindən yan keçməyə şərait yaradır. Bu problem 0.23.1 versiyasında düzəldilmişdir.