ormar is kwetsbaar voor SQL Injection via de aggregate functies min() en max()

Een succesvolle exploitatie van deze SQL Injection kwetsbaarheid kan verstrekkende gevolgen hebben. Aanvallers kunnen gevoelige data uit de database extraheren, zoals gebruikersnamen, wachtwoorden, financiële gegevens en andere vertrouwelijke informatie. Bovendien kunnen ze de database manipuleren, data wijzigen of verwijderen, en zelfs de controle over de applicatie overnemen. De kwetsbaarheid ontstaat doordat Ormar ORM gebruikersinvoer direct in SQL-expressies plaatst zonder adequate validatie of sanitatie. Dit maakt het mogelijk om kwaadaardige SQL-code in te voegen en uit te voeren.

Applications utilizing Ormar ORM for database interaction are at risk. This includes Python web applications, backend services, and any system where user-supplied data is directly incorporated into SQL queries without proper sanitization. Projects relying on older, unpatched versions of Ormar ORM are particularly vulnerable.

• python / server:

import sqlalchemy
from ormar import Model, ORM, Field, Integer, String

# Example vulnerable query
class MyModel(Model):
    id = Field(Integer, primary_key=True)
    name = Field(String)

engine = sqlalchemy.create_engine('sqlite:///:memory:')
ormar_orm = ORM(engine)

# Vulnerable code - user input directly into min() function
user_input = "' UNION SELECT 1, 2, 3 --"
query = MyModel.select().order_by(MyModel.id.min(user_input))
result = normar_orm.db.execute(query)

# This query is vulnerable to SQL injection

• generic web: Inspect application logs for unusual SQL query patterns or errors related to aggregate functions. Look for queries containing unexpected characters or keywords that might indicate an injection attempt.

1. 2026-02-23Disclosure

   disclosure

1. Gereserveerd2026-02-11
2. Gepubliceerd2026-02-23
3. Gewijzigd2026-02-24
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar Ormar ORM versie 0.23.0 of hoger, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan om inputvalidatie toe te voegen aan de code die de min() en max() functies gebruikt. Dit kan door te controleren of de gebruikersinvoer numeriek is en/of een whitelist van toegestane kolomnamen te gebruiken. Het implementeren van Web Application Firewall (WAF) regels die SQL Injection pogingen detecteren en blokkeren kan ook helpen. Controleer de Ormar ORM documentatie voor specifieke configuratie-instructies en best practices.