Plateforme
nodejs
Composant
drizzle-orm
Corrigé dans
0.45.3
1.0.1
0.45.2
La vulnérabilité CVE-2026-39356 concerne une injection SQL dans la librairie drizzle-orm, résultant d'un échappement incorrect des identifiants SQL dans ses fonctions escapeName(). Cette faille permet à un attaquant d'injecter du code SQL malveillant en manipulant les identifiants utilisés dans les requêtes. Les versions affectées sont celles antérieures à 0.45.2, et un correctif est désormais disponible.
An attacker exploiting this vulnerability can inject arbitrary SQL queries into the database. This could lead to unauthorized data access, modification, or deletion. Depending on the database permissions and application logic, an attacker might be able to escalate privileges, gain control of the database server, or even compromise the entire application. The potential impact is significant, especially in applications that handle sensitive data or critical business processes. Successful exploitation could result in data breaches, financial losses, and reputational damage.
This vulnerability was publicly disclosed on 2026-04-08. Currently, there are no known active exploitation campaigns targeting this specific vulnerability. No public proof-of-concept (PoC) code has been released. The vulnerability is not listed on the CISA KEV catalog at the time of this writing.
Applications built using drizzle-orm that rely on user-supplied data for constructing SQL identifiers or aliases are at risk. This includes applications that dynamically generate database queries based on user input, such as search functionality, filtering options, or data import/export features. Projects using older versions of drizzle-orm, particularly those with limited security testing or code review processes, are especially vulnerable.
• nodejs / server:
npm audit drizzle-orm• nodejs / server:
grep -r 'sql.identifier(' . --exclude-dir=node_modules• nodejs / server:
find . -name '*.js' -exec grep -H 'sql.identifier(' {} + disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 13%)
CISA SSVC
Vecteur CVSS
The primary mitigation for CVE-2026-39356 is to upgrade to drizzle-orm version 0.45.2 or later. If upgrading immediately is not feasible, consider implementing input validation and sanitization on any user-supplied data used in SQL identifier construction. While not a complete fix, using parameterized queries or prepared statements can help prevent SQL injection attacks. Monitor database logs for unusual activity and consider implementing a Web Application Firewall (WAF) with SQL injection protection rules.
Actualice a la versión 0.45.2 o 1.0.0-beta.20 o superior para mitigar la vulnerabilidad de inyección SQL. La actualización corrige la forma en que se manejan los identificadores SQL escapados, evitando la inyección de código malicioso. Revise su código para identificar cualquier uso de `sql.identifier()` o `.as()` con datos proporcionados por el usuario y asegúrese de que estén correctamente validados.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Il s'agit d'une vulnérabilité d'injection SQL dans la librairie drizzle-orm, causée par un échappement incorrect des identifiants SQL. Cela permet à un attaquant d'injecter du code SQL malveillant dans les requêtes.
Vous êtes affecté si vous utilisez une version de drizzle-orm antérieure à 0.45.2. Vérifiez votre version actuelle et mettez à jour si nécessaire.
Mettez à jour votre version de drizzle-orm vers 0.45.2 ou une version ultérieure. Cette version inclut le correctif pour cette injection SQL.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.