プラットフォーム
nodejs
コンポーネント
drizzle-orm
修正版
0.45.3
1.0.1
0.45.2
drizzle-orm において、特定のSQL識別子のエスケープ処理に不備があり、引用符で囲まれたSQL識別子を適切にエスケープしていませんでした。この脆弱性を悪用されると、攻撃者はSQLインジェクション攻撃を実行し、データベースへの不正アクセスやデータの改ざんなどの影響を受ける可能性があります。影響を受けるバージョンは0.45.2以前です。0.45.2 以降のバージョンで修正されています。
An attacker exploiting this vulnerability can inject arbitrary SQL queries into the database. This could lead to unauthorized data access, modification, or deletion. Depending on the database permissions and application logic, an attacker might be able to escalate privileges, gain control of the database server, or even compromise the entire application. The potential impact is significant, especially in applications that handle sensitive data or critical business processes. Successful exploitation could result in data breaches, financial losses, and reputational damage.
This vulnerability was publicly disclosed on 2026-04-08. Currently, there are no known active exploitation campaigns targeting this specific vulnerability. No public proof-of-concept (PoC) code has been released. The vulnerability is not listed on the CISA KEV catalog at the time of this writing.
Applications built using drizzle-orm that rely on user-supplied data for constructing SQL identifiers or aliases are at risk. This includes applications that dynamically generate database queries based on user input, such as search functionality, filtering options, or data import/export features. Projects using older versions of drizzle-orm, particularly those with limited security testing or code review processes, are especially vulnerable.
• nodejs / server:
npm audit drizzle-orm• nodejs / server:
grep -r 'sql.identifier(' . --exclude-dir=node_modules• nodejs / server:
find . -name '*.js' -exec grep -H 'sql.identifier(' {} + disclosure
エクスプロイト状況
EPSS
0.04% (13% パーセンタイル)
CISA SSVC
CVSS ベクトル
The primary mitigation for CVE-2026-39356 is to upgrade to drizzle-orm version 0.45.2 or later. If upgrading immediately is not feasible, consider implementing input validation and sanitization on any user-supplied data used in SQL identifier construction. While not a complete fix, using parameterized queries or prepared statements can help prevent SQL injection attacks. Monitor database logs for unusual activity and consider implementing a Web Application Firewall (WAF) with SQL injection protection rules.
Actualice a la versión 0.45.2 o 1.0.0-beta.20 o superior para mitigar la vulnerabilidad de inyección SQL. La actualización corrige la forma en que se manejan los identificadores SQL escapados, evitando la inyección de código malicioso. Revise su código para identificar cualquier uso de `sql.identifier()` o `.as()` con datos proporcionados por el usuario y asegúrese de que estén correctamente validados.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-39356 は、drizzle-orm におけるSQLインジェクションの脆弱性です。SQL識別子を構築する際に、適切にエスケープ処理が行われず、攻撃者が悪意のあるSQLを注入できる可能性があります。
drizzle-orm のバージョンが 0.45.2 以前を使用している場合、この脆弱性の影響を受ける可能性があります。バージョンを確認し、必要に応じてアップデートしてください。
drizzle-orm をバージョン 0.45.2 以降にアップデートすることで、この脆弱性を修正できます。最新バージョンは、公式ドキュメントやリポジトリで確認してください。