CVE-2021-43822
Açıklama
Jackalope Doctrine-DBAL, verileri kalıcı hale getirmek için ilişkisel bir veritabanı kullanan PHP Content Repository API (PHPCR) uygulamasıdır. Etkilenen sürümlerde kullanıcılar, bir düğüm adı veya sorgu belirtebilirlerse SQL enjeksiyonlarına yol açabilirler. Bu sorunu çözmek için sürüm 1.7.4'e yükseltin. Eğer bu mümkün değilse, `Jackalope\Transport\DoctrineDBAL\Query\QOMWalker` sınıfında `sv:name` değerini filtrelemek için `$property` değişkeninin kullanıldığı tüm yerleri `XPath::escape($property)` şeklinde kaçış karakterleriyle güvenli hale getirebilirsiniz. JCR spesifikasyonuna göre düğüm adları ve xpath'ler `"` veya `;` içerebilir. Sorgu nesne modelini doctrine dbal sorgularına dönüştüren jackalope bileşeni, isimleri ve yolları uygun şekilde kaçırmamaktadır; bu durum, uygun şekilde hazırlanmış bir düğüm adının SQL enjeksiyonuna yol açmasına neden olabilir. Sorgular hiçbir zaman kullanıcı girdisinden yapılmıyorsa veya kullanıcı girdisinin `;` içermediğini doğruluyorsanız etkilenmezsiniz.
Nasıl düzeltilir
- jackalope_doctrine-dbal_project jackalope_doctrine-dbal1.7.4 ya da sonraki bir sürüm
- jackalope/jackalope-doctrine-dbal1.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jackalope_doctrine-dbal_project jackalope_doctrine-dbal | v < 1.7.4 | 1.7.4 |
| jackalope/jackalope-doctrine-dbalPackagist | v < 1.7.4 | 1.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.