CVE-2026-27953
Açıklama
ormar, Python için geliştirilmiş asenkron bir mini ORM'dir. 0.23.0 ve altı sürümler, model yapılandırıcısı üzerinden Pydantic doğrulama atlatma zafiyetine sahiptir; bu durum, kimliği doğrulanmamış herhangi bir kullanıcının bir JSON istek gövdesine "__pk_only__": true ekleyerek tüm alan doğrulamalarını atlamasına olanak tanır. Bir JSON istek gövdesine "__pk_only__": true ekleyerek, kimliği doğrulanmamış bir saldırgan tüm alan doğrulamalarını atlayabilir ve doğrulanmamış verileri doğrudan veri tabanına kaydedebilir. İkincil bir __excluded__ parametre enjeksiyonu, aynı deseni kullanarak oluşturma sırasında rastgele model alanlarını (örneğin e-posta veya rol) seçici olarak sıfırlamak için kullanılır. Bu durum, ormar'ın resmi belgelerinde önerilen standart FastAPI entegrasyon desenini etkileyerek, ormar.Model'i doğrudan bir istek gövdesi parametresi olarak kullanan herhangi bir uygulamada yetki yükseltme, veri bütünlüğü ihlalleri ve iş mantığı atlatmaya imkan tanır. Bu sorun 0.23.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- collerek ormar0.23.1 ya da sonraki bir sürüm
- ormar0.23.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| collerek ormar | v < 0.23.1 | 0.23.1 |
| ormarPyPI | v < 0.23.1 | 0.23.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.