CVE-2026-39356
Açıklama
Drizzle, modern bir TypeScript ORM'dir. 0.45.2 ve 1.0.0-beta.20 sürümlerinden önce Drizzle ORM, lehçeye özel escapeName() uygulamalarında tırnak içine alınmış SQL tanımlayıcılarını uygun şekilde kaçırmamıştır. Etkilenen sürümlerde, gömülü tanımlayıcı ayraçları, tanımlayıcı tırnaklar veya ters tırnaklarla sarılmadan önce kaçırılmamıştır. Sonuç olarak, sql.identifier() veya .as() gibi SQL tanımlayıcıları veya takma adları oluşturan API'lere saldırgan kontrollü girdi ileten uygulamalar, bir saldırganın tırnak içine alınmış tanımlayıcıyı sonlandırmasına ve SQL enjekte etmesine izin verebilir. Bu güvenlik açığı 0.45.2 ve 1.0.0-beta.20 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- drizzle drizzle0.45.2 ya da sonraki bir sürüm
- drizzle-orm0.45.2, 1.0.0-beta.20 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| drizzle drizzle | v < 0.45.2, 1.0.0 | 0.45.2 |
| drizzle-ormnpm | v < 0.45.2, 1.0.0-beta.2 ≤ v < 1.0.0-beta.20 | 0.45.2, 1.0.0-beta.20 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.