Unknown · Jackalope Doctrine-Dbal · CVE-2021-43822
**Nome do software vulnerável e versões afetadas:
Versões do Jackalope Doctrine-DBAL anteriores à 1.7.4
Descrição:
A vulnerabilidade permite que usuários provoquem injeções de SQL caso consigam especificar um nome de nó ou uma consulta. Isso ocorre porque o componente jackalope, responsável por traduzir o modelo de objeto de consulta em consultas Doctrine DBAL, não escapa adequadamente os nomes e caminhos. Nomes de nós e xpaths podem conter " ou ; de acordo com a especificação JCR. Se as consultas nunca forem realizadas a partir de entradas do usuário, ou se você validar que a entrada do usuário não contenha ;, você não será afetado.
Recomendações:
Atualize para a versão 1.7.4 para resolver esta vulnerabilidade.
Se isso não for possível, escape todos os locais onde `$property` é usado para filtrar `sv:name` na classe `JackalopeTransportDoctrineDBALQueryQOMWalker`: `XPath::escape($property)`.
Como solução temporária, considere validar a entrada do usuário para garantir que não contenha ;, a fim de minimizar o risco de exploração.