CVE-2026-44680
MikroORM : injection SQL via des identifiants contrôlés à l'exécution et des clés de chemin JSON
- Publié
- 26 mai 2026
- Mise à jour
- 26 mai 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 29 mai 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:LFaible · 30 prochains jours
- Percentile
- 69,7 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
MikroORM est un ORM TypeScript pour Node.js fondé sur les modèles Data Mapper, Unit of Work et Identity Map. Avant @mikro-orm/knex 6.6.14 et @mikro-orm/sql 7.0.14, l'assistant de citation d'identifiants de MikroORM (Platform.quoteIdentifier et ses surcharges postgres/mssql) ainsi que ses émetteurs de chemins JSON (Platform.getSearchJsonPropertyKey, quoteJsonKey) n'échappaient pas correctement les caractères qui délimitent le contexte d'identifiant SQL ou de littéral de chaîne dans lequel ils émettent. Lorsque le code applicatif transmet des chaînes influencées par un attaquant à des API ORM publiques qui attendent un identifiant ou un filtre de propriété JSON, un attaquant peut sortir du contexte cité et injecter du SQL arbitraire. Cette vulnérabilité est corrigée dans @mikro-orm/knex 6.6.14 et @mikro-orm/sql 7.0.14.
Sources
Outil PoC pour CVE-2026-44680 affectant MikroORM ≤7.0.13. Exploite l'injection de chemin JSON pour extraire le contenu de la base de données via des attaques basées sur UNION. Propose la détection de vulnérabilités, l'extraction automatisée de données, l'énumération des tables et la prise en charge de l'injection aveugle. Comprend l'intégration d'un proxy pour Burp Suite et des techniques de contournement de WAF.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.