MikroORM विशेष रूप से तैयार किए गए ऑब्जेक्ट (Object) के माध्यम से SQL इंजेक्शन (SQL Injection) के लिए असुरक्षित है

CVE-2026-34220 MikroORM को प्रभावित करता है, जो Node.js के लिए एक TypeScript ORM है, और यह एक SQL इंजेक्शन भेद्यता का प्रतिनिधित्व करता है। यह भेद्यता तब उत्पन्न होती है जब विशेष रूप से तैयार की गई वस्तुओं को उचित सत्यापन के बिना कच्चे SQL क्वेरी खंडों के रूप में व्याख्यायित किया जाता है। यह एक हमलावर को MikroORM द्वारा उत्पन्न क्वेरी में दुर्भावनापूर्ण SQL कोड इंजेक्ट करने की अनुमति देता है, जिससे संग्रहीत डेटा की अखंडता और गोपनीयता से समझौता हो सकता है। CVSS स्कोर 9.8 होने का संकेत है कि जोखिम गंभीर है, जो भेद्यता की गंभीरता पर प्रकाश डालता है और सुधार को तुरंत लागू करने की आवश्यकता को उजागर करता है। सफल शोषण के परिणामस्वरूप संशोधन, विलोपन या संवेदनशील डेटा तक अनधिकृत पहुंच हो सकती है।

Applications utilizing MikroORM versions 7.0.0 through 7.0.6 are at immediate risk. This includes Node.js projects that rely on MikroORM for database interaction, particularly those handling sensitive data or operating in environments with limited security controls. Developers who have recently upgraded to version 7.0.x should prioritize patching.

• nodejs / server:

  ps aux | grep -i mikroorm
  find / -name "node_modules/mikro-orm" -print

• nodejs / supply-chain:

  npm ls mikro-orm
  npm audit

• generic web: Inspect application logs for any unusual SQL query patterns or errors related to MikroORM. Monitor database logs for suspicious activity.

1. 2026-03-31Disclosure

   disclosure

1. आरक्षित2026-03-26
2. प्रकाशित2026-03-31
3. संशोधित2026-04-03
4. EPSS अद्यतन2026-04-08

CVE-2026-34220 के लिए प्राथमिक शमन MikroORM को संस्करण 6.6.10 या उच्चतर, या संस्करण 7.0.6 में अपग्रेड करना है। इन संस्करणों में एक सुधार शामिल है जो SQL क्वेरी खंडों को उचित रूप से मान्य और सैनिटाइज करके SQL इंजेक्शन भेद्यता को संबोधित करता है। इसके अतिरिक्त, अपने एप्लिकेशन कोड की समीक्षा करें ताकि MikroORM के किसी भी संभावित रूप से कमजोर उपयोग की पहचान और सुधार किया जा सके। सुरक्षित कोडिंग प्रथाओं को लागू करना, जैसे कि पैरामीटराइज़्ड क्वेरी का उपयोग करना और उपयोगकर्ता इनपुट को मान्य करना, भविष्य की SQL इंजेक्शन भेद्यताओं को रोकने में मदद कर सकता है। संभावित सुरक्षा कमजोरियों की पहचान करने और उन्हें संबोधित करने के लिए आवधिक प्रवेश परीक्षण भी महत्वपूर्ण है।