Как это работает

1. Метод translateCondition() в классе условий PostgreSQL перебирает $condition['value'] и использует ключи массива для создания имен PDO-плейсхолдеров:
   $where_id = $where_prefix . $key;
2. JSON:API позволяет анонимным пользователям указывать значения фильтра с произвольными ключами массива через параметры URL:
   filter[x][condition][value][MALICIOUS_KEY]=val
3. Именованные плейсхолдеры PDO состоят только из символов [a-zA-Z0-9_]. Когда ключ содержит ), PDO прекращает разбор имени плейсхолдера — все, что после, становится литеральным SQL, внедренным в запрос.
4. Отправляя ключ, подобный 1))/**/OR/**/(SELECT pg_sleep(5)) IS NOT NULL)--, злоумышленник закрывает предложение IN() и добавляет произвольный SQL, при этом привязка для :prefix_1 удовлетворяется легитимным ключом 1 в том же запросе.

Ссылки и благодарности

• Уведомление: SA-CORE-2026-004
• Коммит исправления: ea9524d9
• Обнаружитель: michaelmaturi (упомянут в уведомлении)

Правовое уведомление

Данный инструмент предназначен только для авторизованного тестирования безопасности, образовательных целей и этических исследований. Несанкционированный доступ к компьютерным системам является незаконным.

Установка

Использование (CLI)

Автор

• PoC разработан 7h30th3r0n3
• Уязвимость обнаружена michaelmaturi