CVE-2026-54529

SQLAdmin, SQLAlchemy modelləri üçün çevik admin interfeysidir. 0.27.1 versiyasından əvvəl, sqladmin/models.py faylındakı ModelView.sort_query funksiyası, self._sort_fields daxilində konfiqurasiya edilmiş column_sortable_list server tərəfli icazə siyahısını tətbiq etmədən hücumçu tərəfindən idarə olunan sortBy list-view sorğu parametrini qəbul edir. Dəyər getattr ilə müəyyən edilir və relationship join-lərinə və order_by-a ötürülür ki, bu da sorğuların column_list-dən gizlədilmiş sütunlar üzrə və nöqtəli yollar vasitəsilə əlaqəli model sütunları üzrə sıralanmasına imkan verir. Nəticədə yaranan sətirlərin sırası açıqlanmamış dəyərlər üçün məlumat sızması oraklı formalaşdırır və artan və azalan sıra növünün dəyişdirilməsi onların nisbi ardıcıllığını təsdiqləyir. sortBy parametrinin searchable və ya filterable sütunlarla və səhifələmə (pagination) ilə birləşdirilməsi oraklı konkret dəyərlərə doğru daralda bilər, lakin dəqiq bərpa tətbiqin mövcud sahələrindən və məlumatlarından asılıdır. Bu problem 0.27.1 versiyasında düzəldilmişdir.