CVE-2026-84993
Açıklama
MikroORM; Data Mapper, Unit of Work ve Identity Map desenlerine dayalı, Node.js için geliştirilmiş bir TypeScript ORM'dir. 6.6.16 ve 7.1.7 sürümlerinden önce, paylaşılan SQL katmanı bir orderBy yan tümcesinin alan anahtarını doğrular ancak AbstractSqlPlatform.getOrderByExpression bunu bir ORDER BY yan tümcesine eklemeden önce yön değerini doğrulamaz. Saldırgan tarafından kontrol edilen istek verilerini em.find(), em.findOne(), em.findAndCount(), QueryBuilder.orderBy() veya QueryBuilderHelper.getQueryOrderFromObject() içindeki yöne bağlayan uygulamalar, veritabanı hesabının erişebildiği verilerin kör (blind) veya boolean yöntemlerle çıkarılmasını sağlayan ham bir SQL parçacığına izin verebilir. BaseMySqlPlatform ve MsSqlPlatform geçiş yolları aynı davranışa sahiptir; bu durum SQLite, PostgreSQL, MySQL, MariaDB, MSSQL, libSQL ve Oracle sürücülerini etkilerken MongoDB etkilenmemektedir. Bu sorun 6.6.16 ve 7.1.7 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mikro-orm mikro-orm | < 6.6.16, >= 7.0.0, < 7.1.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.