Уразливість SQL-ін’єкції в MikroORM через недостатню перевірку напрямку ORDER BY (CVE-2026-84993)

Що відомо

У MikroORM до версій 6.6.16 та 7.1.7 відсутня належна перевірка значення напрямку в ORDER BY, що дозволяє зловмисникам вставляти шкідливі SQL-фрагменти через параметри сортування. Це може призвести до витоку даних шляхом сліпого або булевого вилучення інформації з бази даних.

Бізнес-вплив

Ця уразливість впливає на застосунки, які використовують MikroORM з базами даних SQLite, PostgreSQL, MySQL, MariaDB, MSSQL, libSQL та Oracle, дозволяючи потенційним зловмисникам виконувати несанкціоновані SQL-запити через параметри сортування. Це підвищує ризик компрометації конфіденційних даних і порушення цілісності бази даних, що може негативно вплинути на бізнес-процеси та репутацію.

Рекомендовані дії адміністратора

Рекомендується оновити MikroORM до версій 6.6.16 або 7.1.7, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити можливість передачі користувацьких даних у параметри сортування, ретельно перевіряти вхідні дані та аналізувати журнали запитів на наявність підозрілої активності. Також варто переглянути налаштування доступу до бази даних для мінімізації ризиків. DataHouse підтримує перевірку версій, кероване оновлення та моніторинг мережевої активності для зниження ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference