CVE-2026-39356
Təsvir
Drizzle müasir bir TypeScript ORM-dir. 0.45.2 və 1.0.0-beta.20 versiyalarından əvvəl Drizzle ORM özünün dialektə xas escapeName() tətbiqlərində dırnaq arası SQL identifikatorlarını düzgün şəkildə escape etmirmiş. Təsirə məruz qalan versiyalarda, identifikator dırnaqlara və ya geri dırnaqlara (backticks) alınmazdan əvvəl daxili identifikator ayırıcıları escape edilməmişdir. Nəticədə, sql.identifier(), .as() kimi SQL identifikatorlarını və ya aliasları formalaşdıran API-lara hücumçunun idarə etdiyi giriş məlumatlarını ötürən tətbiqlərdə, hücumçu dırnaq arası identifikatoru sonlandıraraq SQL inyeksiyası edə bilər. Bu zəiflik 0.45.2 və 1.0.0-beta.20 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- drizzle drizzle0.45.2 və ya daha yeni versiya
- drizzle-orm0.45.2, 1.0.0-beta.20 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| drizzle drizzle | v < 0.45.2, 1.0.0 | 0.45.2 |
| drizzle-ormnpm | v < 0.45.2, 1.0.0-beta.2 ≤ v < 1.0.0-beta.20 | 0.45.2, 1.0.0-beta.20 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.