CVE-2026-44680

总结

MikroORM 是一款基于 Data Mapper、Unit of Work 和 Identity Map 模式的 Node.js TypeScript ORM。在 @mikro-orm/knex 6.6.14 和 @mikro-orm/sql 7.0.14 之前，MikroORM 的标识符引用辅助函数（Platform.quoteIdentifier 及 postgres/mssql 覆盖实现）及其 JSON 路径生成器（Platform.getSearchJsonPropertyKey、quoteJsonKey）未能正确转义用于界定其输出所处 SQL 标识符或字符串字面量上下文的字符。当应用程序代码将受攻击者影响的字符串传递给期望标识符或 JSON 属性过滤器的公共 ORM API 时，攻击者可以突破引用上下文并注入任意 SQL。此漏洞已在 @mikro-orm/knex 6.6.14 和 @mikro-orm/sql 7.0.14 中修复。

• CVE-2026-44680-MikroORM-SQL-Injection-Exploit-Framework漏洞利用

  CVE-2026-44680 的 PoC 工具，影响 MikroORM ≤7.0.13。利用 JSON 路径注入，通过基于 UNION 的攻击提取数据库内容。具备漏洞检测、自动化数据提取、表枚举和盲注支持。包含针对 Burp Suite 的代理集成及 WAF 绕过技术。

• MikroORM 7.0.13 - SQL Injection漏洞利用

  cardosource · multiple · 2026年5月29日