PT-2025-15445 · Unknown+1 · Crud-Query-Parser+1

CVE-2025-32020 · Publicado 2025-04-08 · Atualizado 2025-04-09

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas: Versões do crud-query-parser anteriores a 0.1.0

Descrição: A biblioteca crud-query-parser é afetada por um problema no qual a neutralização inadequada do parâmetro order/sort no adaptador TypeORM permite injeção de SQL. Este problema impacta usuários que estão utilizando o adaptador TypeORM com a ordenação habilitada e não configuraram um filtro de propriedade.

Recomendações: Para versões anteriores a 0.1.0, atualize para a versão 0.1.0 para resolver o problema. Como solução temporária, considere desabilitar o recurso de ordenação ou configurar um filtro de propriedade para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-32020

GHSA-9R25-RP3P-H2W4

Produtos afetados

Typeorm

Crud-Query-Parser

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32020.json · Exploit
• https://github.com/Guichaguri/crud-query-parser/security/advisories/GHSA-9r25-rp3p-h2w4 · Nota
• https://github.com/Guichaguri/crud-query-parser · Nota
• https://osv.dev/vulnerability/GHSA-9r25-rp3p-h2w4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-32020 · Nota de Segurança
• https://twitter.com/CCBalert/status/1910012426419917208 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-32020 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1909626393932996907 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1909630583338136019 · Publicação no Twitter