ormar est vulnérable à (SQL Injection) via les fonctions d'agrégation min() et max()

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'exécuter des requêtes SQL arbitraires sur la base de données sous-jacente. Cela peut conduire à la divulgation, à la modification ou à la suppression de données sensibles, y compris les informations d'identification des utilisateurs, les données financières et les informations personnelles. Dans certains cas, un attaquant pourrait même obtenir un accès non autorisé au système d'exploitation. La vulnérabilité est particulièrement préoccupante car elle peut être exploitée sans authentification, permettant à un attaquant non authentifié de compromettre la base de données. Cette faille présente des similitudes avec d'autres vulnérabilités de SQL Injection, où l'injection de code malveillant dans des requêtes SQL peut avoir des conséquences désastreuses.

Applications utilizing Ormar ORM for database interaction are at risk. This includes Python web applications, backend services, and any system where user-supplied data is directly incorporated into SQL queries without proper sanitization. Projects relying on older, unpatched versions of Ormar ORM are particularly vulnerable.

• python / server:

import sqlalchemy
from ormar import Model, ORM, Field, Integer, String

# Example vulnerable query
class MyModel(Model):
    id = Field(Integer, primary_key=True)
    name = Field(String)

engine = sqlalchemy.create_engine('sqlite:///:memory:')
ormar_orm = ORM(engine)

# Vulnerable code - user input directly into min() function
user_input = "' UNION SELECT 1, 2, 3 --"
query = MyModel.select().order_by(MyModel.id.min(user_input))
result = normar_orm.db.execute(query)

# This query is vulnerable to SQL injection

• generic web: Inspect application logs for unusual SQL query patterns or errors related to aggregate functions. Look for queries containing unexpected characters or keywords that might indicate an injection attempt.

1. 2026-02-23Disclosure

   disclosure

1. Réservé2026-02-11
2. Publiée2026-02-23
3. Modifiée2026-02-24
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Ormar ORM vers la version 0.23.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement les fonctions d'agrégation min() et max() dans les requêtes qui acceptent des entrées utilisateur. En outre, l'utilisation d'une Web Application Firewall (WAF) peut aider à bloquer les tentatives d'injection SQL. Il est également crucial de valider et de nettoyer toutes les entrées utilisateur avant de les utiliser dans des requêtes SQL. Après la mise à jour, vérifiez l'intégrité de la base de données et effectuez des tests de pénétration pour confirmer que la vulnérabilité a été corrigée.