關(guān)鍵詞

安全漏洞

近日，Python 異步 ORM 庫ormar被披露存在一項(xiàng)嚴(yán)重安全漏洞，編號(hào)為CVE-2026-26198，CVSS 評(píng)分高達(dá) 9.8 分。該漏洞影響版本 0.9.9 至 0.22.0，波及范圍廣泛。

漏洞核心問題出現(xiàn)在聚合函數(shù) min() 與 max() 的實(shí)現(xiàn)邏輯中。開發(fā)者在構(gòu)造 SQL 語句時(shí)，將用戶可控的列名參數(shù)直接傳入 sqlalchemy.text()，且未進(jìn)行任何校驗(yàn)或過濾，從而形成典型的 SQL 注入風(fēng)險(xiǎn)。攻擊者可通過構(gòu)造惡意字段名，注入子查詢語句，讀取與當(dāng)前模型無關(guān)的數(shù)據(jù)庫表內(nèi)容，實(shí)現(xiàn)未授權(quán)數(shù)據(jù)訪問。

由于 ormar 在 FastAPI 及異步 Python 應(yīng)用中使用廣泛，且官方示例代碼常允許用戶選擇聚合字段，若接口直接將前端參數(shù)傳入 Model.objects.min() 或 max()，即可成為完整的 SQL 注入入口。該攻擊在 SQLite、PostgreSQL、MySQL 等主流數(shù)據(jù)庫后端均已驗(yàn)證可行。

研究指出，該問題自 2021 年 3 月 12 日引入（v0.9.9）后從未被修改，持續(xù)存在近四年。

目前維護(hù)者已在 0.23.0 版本中完成修復(fù)。建議開發(fā)者立即檢查依賴版本，盡快升級(jí)，同時(shí)審計(jì)所有涉及動(dòng)態(tài)字段傳參的聚合接口，避免將用戶輸入直接用于 SQL 構(gòu)造。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！