PT-2021-23957 · Unknown · Jackalope Doctrine-Dbal
Alexander-Schranz
·
Publicado
2021-12-13
·
Atualizado
2021-12-17
·
CVE-2021-43822
CVSS v3.1
8.5
Alta
| Vetor | AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Versões do Jackalope Doctrine-DBAL anteriores à 1.7.4
Descrição:
A vulnerabilidade permite que usuários provoquem injeções de SQL caso consigam especificar um nome de nó ou uma consulta. Isso ocorre porque o componente jackalope, responsável por traduzir o modelo de objeto de consulta em consultas Doctrine DBAL, não escapa adequadamente os nomes e caminhos. Nomes de nós e xpaths podem conter " ou ; de acordo com a especificação JCR. Se as consultas nunca forem realizadas a partir de entradas do usuário, ou se você validar que a entrada do usuário não contenha ;, você não será afetado.
Recomendações:
Atualize para a versão 1.7.4 para resolver esta vulnerabilidade.
Se isso não for possível, escape todos os locais onde
$property é usado para filtrar sv:name na classe JackalopeTransportDoctrineDBALQueryQOMWalker: XPath::escape($property).Como solução temporária, considere validar a entrada do usuário para garantir que não contenha ;, a fim de minimizar o risco de exploração.
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jackalope Doctrine-Dbal