CVE-2026-121265 Inyección SQL en SQL::Abstract al pasar valores de columna como arrayref
SQL::Abstract, en versiones anteriores a 2.000003 para Perl, permite inyección SQL cuando insert(), update() y values() reciben un valor de columna arrayref con la opción array_datatypes desactivada (valor por defecto): el primer elemento se inserta sin escapar en el texto SQL. Una aplicación que pasa datos de la petición como valores de columna a insert o update con las opciones por defecto queda expuesta. La versión 2.000003 corrige el problema.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 25
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
SQL::Abstract versions before 2.000003 for Perl allow SQL injection via an arrayref column value in insert and update.
With the array_datatypes option off, which is the default, insert(), update() and values() treat an arrayref column value as literal SQL. Its first element goes into the SQL text unescaped and the rest become bind values. A JSON array, or a repeated form field decoded as an arrayref, is such a value.
An application that passes request data as column values to insert or update with the default options allows SQL injection.
Releases before 2.000003 also treat an arrayref in generate() as literal SQL, including through AUTOLOAD when allow_autoload is on, whatever array_datatypes is set to.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.