CVE-2026-26198

概要

Ormarは、Python向けの非同期ミニORMです。バージョン0.9.9から0.22.0において、集計クエリを実行する際、Ormar ORMはユーザーが指定したカラム名を検証やサニタイズなしに直接`sqlalchemy.text()`へ渡してSQL式を構築します。`QuerySet`クラスの`min()`メソッドと`max()`メソッドは、カラムパラメータとして任意の文字列入力を受け入れます。`sum()`と`avg()`は、存在しないフィールドを拒否する`is_numeric`型チェックによって部分的に保護されていますが、`min()`と`max()`はこの検証を完全にスキップします。その結果、攻撃者が制御する文字列が集計関数呼び出し内の生のSQLとして埋め込まれます。認証されていないユーザーは、カラムパラメータとしてサブクエリを注入することで、クエリ対象のモデルとは無関係のテーブルを含むデータベース全体の内容を読み取るためにこの脆弱性を悪用できます。バージョン0.23.0にはパッチが含まれています。

• CVE-2026-26198-analysis研究

  PythonのOrmar ORMにおける重大なSQLインジェクションの詳細解説 — 再現、修正、テスト

• CVE-2026-26198PoC

  CVE-2026-26198の概念実証エクスプロイトで、脆弱性とその影響を実証します。