CVE-2023-47128

Piccolo, asyncio destekleyen bir nesne ilişkisel eşleme ve sorgu oluşturucudur. Versiyon 1.1.1 öncesinde, tüm veritabanı uygulamalarındaki adlandırılmış işlem `savepoints` yönetimi, f-string'ler aracılığıyla SQL Injection saldırısına karşı savunmasızdır. Bir geliştiricinin `savepoints` `name` parametresini kullanıcıya açma olasılığı düşük olsa da bu durum imkansız değildir. Kötü niyetli bir kullanıcının bu işlevselliği kötüye kullanabilmesi durumunda, esasen veritabanına doğrudan erişim sağlayacak ve verileri veritabanı kullanıcısıyla ilişkili izin seviyesinde değiştirme yetkisine sahip olacaktır. Veritabanı izinlerine bağlı olarak gerçekleştirilebilecek işlemlerin kapsamlı olmayan bir listesi şunlardır: Kullanıcı adları ve parola özetleri dahil olmak üzere veritabanında saklanan tüm verilerin okunması; mevcut kayıtların değiştirilmesi dahil olmak üzere veritabanına rastgele veri eklenmesi ve alttaki sunucuda bir shell elde edilmesi. Versiyon 1.1.1 bu sorunu düzeltmektedir.