CVE-2026-121007 Inyección SQL en SQL::Abstract vía valores where de una sentencia anidada en posición de identificador
SQL::Abstract desde 1.90_01 hasta antes de 2.000001_04 para Perl permite inyección SQL mediante los valores where de una sentencia anidada en una posición donde los escalares simples son identificadores, como la lista select, ORDER BY, GROUP BY, RETURNING y, con el plugin ExtraClauses, FROM (-as) y JOIN (to). Los valores de las cláusulas where, having y set, y las filas de -values, van al texto SQL en lugar de la lista de bind, sin escapar salvo que se configure quote_char. Las subconsultas en una condición WHERE…
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 7
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
SQL::Abstract versions from 1.90_01 before 2.000001_04 for Perl allow SQL injection via the where values of a nested statement in an identifier position.
A nested statement such as { -select => ... } in a position where plain scalars are identifiers treats its own plain scalars as identifiers too. These positions are the select list, ORDER BY, GROUP BY, RETURNING, and with the ExtraClauses plugin FROM (-as) and JOIN (to). The values of the statement's where, having and set clauses, and the rows of a -values, go into the SQL text instead of the bind list, unescaped unless quote_char is set. Subselects in a WHERE condition are not affected.
An application that passes untrusted input as a where value of such a nested statement, expecting it to be bound, allows SQL injection.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.