關(guān)鍵詞

安全漏洞

近日，Python 異步 ORM 庫ormar被披露存在一項嚴(yán)重安全漏洞，編號為CVE-2026-26198，CVSS 評分高達(dá) 9.8 分。該漏洞影響版本 0.9.9 至 0.22.0，波及范圍廣泛。

漏洞核心問題出現(xiàn)在聚合函數(shù) min() 與 max() 的實現(xiàn)邏輯中。開發(fā)者在構(gòu)造 SQL 語句時，將用戶可控的列名參數(shù)直接傳入 sqlalchemy.text()，且未進(jìn)行任何校驗或過濾，從而形成典型的 SQL 注入風(fēng)險。攻擊者可通過構(gòu)造惡意字段名，注入子查詢語句，讀取與當(dāng)前模型無關(guān)的數(shù)據(jù)庫表內(nèi)容，實現(xiàn)未授權(quán)數(shù)據(jù)訪問。

由于 ormar 在 FastAPI 及異步 Python 應(yīng)用中使用廣泛，且官方示例代碼常允許用戶選擇聚合字段，若接口直接將前端參數(shù)傳入 Model.objects.min() 或 max()，即可成為完整的 SQL 注入入口。該攻擊在 SQLite、PostgreSQL、MySQL 等主流數(shù)據(jù)庫后端均已驗證可行。

研究指出，該問題自 2021 年 3 月 12 日引入（v0.9.9）后從未被修改，持續(xù)存在近四年。

目前維護(hù)者已在 0.23.0 版本中完成修復(fù)。建議開發(fā)者立即檢查依賴版本，盡快升級，同時審計所有涉及動態(tài)字段傳參的聚合接口，避免將用戶輸入直接用于 SQL 構(gòu)造。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！