CVE-2023-30605

Archery açık kaynaklı bir SQL denetim platformudur. Archery projesi, bir saldırganın bağlı veritabanlarını sorgulamasına izin verebilecek birden fazla SQL injection zafiyeti içermektedir. `sql/instance.py` içerisindeki `param_edit` uç noktasında bulunan `variable_name` ve `variable_value` parametre değerlerinden gelen kullanıcı girdileri, belirli SQL motoru uygulamalarındaki bir dizi metoda iletilmektedir; bu metodlar kullanıcı girdilerini güvenli olmayan bir şekilde bir SQL sorgusuna eklemekte ve ardından yürütülmek üzere her veritabanı motorunun `query` metoduna aktarmaktadır. Etkilenen metodlar şunlardır: `sql/engines/goinception.py` içerisinde girdiyle birleştirme yapan ve veritabanında yürütülen `set_variable`, `sql/engines/goinception.py` içerisinde girdiyle birleştirme yapan ve veritabanında yürütülen `get_variables`, `sql/engines/mysql.py` içerisinde girdiyle birleştirme yapan ve `sql/engines/mysql.py` `query` üzerinden veritabanında yürütülen `set_variable` ve `sql/engines/mysql.py` içerisinde girdiyle birleştirme yapan ve `sql/engines/mysql.py` `query` üzerinden veritabanında yürütülen `get_variables`. Bu sorunların her biri, kullanıcı girdilerinin kaçış karakterleri ile temizlenmesi veya SQL sorguları yürütülürken hazırlıklı ifadelerin (prepared statements) kullanılmasıyla giderilebilir. Bu bildirim aynı zamanda `GHSL-2022-104` olarak indekslenmiştir.