ormar es vulnerable a Inyección SQL (SQL Injection) a través de las funciones de agregación min() y max()

La inyección SQL en Ormar ORM permite a un atacante ejecutar comandos SQL arbitrarios en la base de datos subyacente. Esto puede resultar en la lectura, modificación o eliminación de datos sensibles, incluyendo credenciales de usuario, información financiera y datos personales. Un atacante podría también utilizar esta vulnerabilidad para obtener acceso no autorizado al sistema, escalar privilegios y comprometer la confidencialidad, integridad y disponibilidad de la aplicación. La falta de validación de los nombres de las columnas en las consultas de agregación es la causa raíz de esta vulnerabilidad, similar a otras vulnerabilidades de inyección SQL que han afectado a diversas aplicaciones.

Applications utilizing Ormar ORM for database interaction are at risk. This includes Python web applications, backend services, and any system where user-supplied data is directly incorporated into SQL queries without proper sanitization. Projects relying on older, unpatched versions of Ormar ORM are particularly vulnerable.

• python / server:

import sqlalchemy
from ormar import Model, ORM, Field, Integer, String

# Example vulnerable query
class MyModel(Model):
    id = Field(Integer, primary_key=True)
    name = Field(String)

engine = sqlalchemy.create_engine('sqlite:///:memory:')
ormar_orm = ORM(engine)

# Vulnerable code - user input directly into min() function
user_input = "' UNION SELECT 1, 2, 3 --"
query = MyModel.select().order_by(MyModel.id.min(user_input))
result = normar_orm.db.execute(query)

# This query is vulnerable to SQL injection

• generic web: Inspect application logs for unusual SQL query patterns or errors related to aggregate functions. Look for queries containing unexpected characters or keywords that might indicate an injection attempt.

1. 2026-02-23Disclosure

   disclosure

1. Reservado2026-02-11
2. Publicada2026-02-23
3. Modificada2026-02-24
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a Ormar ORM versión 0.23.0 o superior, donde se ha corregido la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Estas incluyen la validación y sanitización rigurosa de todas las entradas de usuario antes de utilizarlas en consultas SQL, así como la restricción de los privilegios de la cuenta de base de datos utilizada por la aplicación. Implementar un Web Application Firewall (WAF) con reglas para detectar y bloquear intentos de inyección SQL también puede ayudar a mitigar el riesgo. Verifique la actualización ejecutando una consulta simple que no involucre entradas de usuario para confirmar que la versión corregida está en funcionamiento.