CVE-2026-26198

Zusammenfassung

Ormar ist ein asynchrones Mini-ORM für Python. In den Versionen 0.9.9 bis 0.22.0 erstellt das Ormar-ORM bei Aggregatabfragen SQL-Ausdrücke, indem es vom Benutzer bereitgestellte Spaltennamen direkt an `sqlalchemy.text()` übergibt, ohne jegliche Validierung oder Bereinigung. Die Methoden `min()` und `max()` in der Klasse `QuerySet` akzeptieren beliebige Zeichenketten als Spaltenparameter. Während `sum()` und `avg()` teilweise durch eine `is_numeric`-Typüberprüfung geschützt sind, die nicht existierende Felder ablehnt, überspringen `min()` und `max()` diese Validierung vollständig. Infolgedessen wird eine vom Angreifer kontrollierte Zeichenkette als rohes SQL innerhalb des Aggregatfunktionsaufrufs eingebettet. Jeder unbefugte Benutzer kann diese Schwachstelle ausnutzen, um den gesamten Datenbankinhalt zu lesen, einschließlich Tabellen, die nichts mit dem abgefragten Modell zu tun haben, indem er eine Unterabfrage als Spaltenparameter injiziert. Version 0.23.0 enthält einen Patch.

• CVE-2026-26198-analysisForschung

  Tiefer Einblick in eine kritische SQL-Injection in Pythons Ormar-ORM — Reproduktion, Fix und Tests

• CVE-2026-26198PoC

  Proof-of-Concept-Exploit für CVE-2026-26198, der die Schwachstelle und ihre Auswirkungen demonstriert.