CVE-2026-26198

Résumé

Ormar est un mini ORM asynchrone pour Python. Dans les versions 0.9.9 à 0.22.0, lors de l'exécution de requêtes d'agrégation, l'ORM Ormar construit des expressions SQL en transmettant directement les noms de colonnes fournis par l'utilisateur à `sqlalchemy.text()` sans aucune validation ni assainissement. Les méthodes `min()` et `max()` de la classe `QuerySet` acceptent une chaîne arbitraire comme paramètre de colonne. Bien que `sum()` et `avg()` soient partiellement protégées par une vérification de type `is_numeric` qui rejette les champs inexistants, `min()` et `max()` ignorent entièrement cette validation. Par conséquent, une chaîne contrôlée par l'attaquant est intégrée comme SQL brut à l'intérieur de l'appel de fonction d'agrégation. Tout utilisateur non autorisé peut exploiter cette vulnérabilité pour lire l'intégralité du contenu de la base de données, y compris les tables sans rapport avec le modèle interrogé, en injectant une sous-requête comme paramètre de colonne. La version 0.23.0 contient un correctif.

• CVE-2026-26198-analysisRecherche

  Analyse approfondie d'une injection SQL critique dans l'ORM Ormar de Python — reproduction, correctif et tests

• CVE-2026-26198PoC

  Preuve de concept pour CVE-2026-26198, démontrant la vulnérabilité et son impact.