JVNDB-2026-005016

collerekのormarにおけるSQL インジェクションの脆弱性

OrmarはPython用の非同期ミニORMです。バージョン0.9.9から0.22.0までの間、集約クエリを実行する際にOrmar ORMはユーザーから提供されたカラム名を検証やサニタイズせずに直接`sqlalchemy.text()`に渡してSQL式を構築していました。`QuerySet`クラスの`min()`および`max()`メソッドはカラムパラメータとして任意の文字列入力を受け入れます。`sum()`および`avg()`は存在しないフィールドを拒否する`is_numeric`型チェックで部分的に保護されていますが、`min()`および`max()`はこの検証を完全にスキップしています。その結果、攻撃者が制御する文字列を集約関数呼び出し内に生のSQLとして埋め込む可能性があります。許可されていないユーザーはカラムパラメータにサブクエリを注入することで、問い合わせ対象のモデルに無関係なテーブルを含むデータベース全体の内容を読み取ることができます。バージョン0.23.0で修正パッチが適用されました。

collerek

• ormar 0.9.9 以上 0.23.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : SQL Injection in aggregate functions min() and max()  Advisory  collerek/ormar  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-26198

1. National Vulnerability Database (NVD) : CVE-2026-26198
2. 関連文書 : Release Fix critical vulnerability, drop Python 3.9, bugfixes  collerek/ormar  GitHub
3. 関連文書 : fix vulnerability by column filtering (#1557)  collerek/ormar@a03bae1  GitHub

• [2026年02月27日]
    掲載