CVE-2026-44635: Luka w Kysely umożliwiająca nieautoryzowany dostęp do pól JSON

Co wiadomo

W Kysely w wersjach od 0.26.0 do 0.28.16 funkcja DefaultQueryCompiler.visitJSONPathLeg nie zabezpiecza znaków specjalnych w ścieżkach JSON, co pozwala atakującemu na odczyt i modyfikację niezamierzonych podpol JSON w bazach MySQL, PostgreSQL i SQLite. Luka została załatana w wersji 0.28.17.

Wpływ biznesowy

Ta luka umożliwia atakującym dostęp do danych JSON poza zamierzonym zakresem, co może prowadzić do wycieku lub nieautoryzowanych modyfikacji danych w bazach danych obsługiwanych przez Kysely. Operatorzy IT i właściciele infrastruktury powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli korzystają z wersji Kysely podatnych na atak i przetwarzają dane JSON wrażliwe na modyfikacje.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację Kysely do wersji 0.28.17 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć dostęp do funkcji przetwarzających dane JSON, przeglądać logi pod kątem podejrzanych operacji oraz weryfikować i ograniczać wejścia użytkowników, które mogą wpływać na zapytania JSON. Priorytetowo traktuj przegląd i zabezpieczenie środowisk wykorzystujących podatne wersje.

Źródła

• NVD
• Reference