I ADOdb-bibliotek, der anvendes i mange PHP-projekter til at abstrahere databaseadgang og har omkring 3 millioner installationer fra Packagist-repositoriet, er der opdaget en sårbarhed (CVE-2025-46337), der muliggør indsprøjtning af brugerdefinerede SQL-forespørgsler. Sårbarheden har fået et kritisk fareniveau (10 ud af 10). Sårbarheden er blevet udbedret i ADOdb-version 5.22.9.
Sårbarheden opstår, når ADOdb bruges med PostgreSQL-databasen i applikationer, der kalder metoden pg_insert_id() og overfører ikke-validerede eksterne data via parameteren $fieldname. Problemet skyldes en fejl i ADOdb-driveren til PostgreSQL, relateret til manglende korrekt escaping af specialtegn i parametrene $tablename og $fieldname, før de anvendes i funktionen pg_insert_id() til at generere sekvensnavnet. $result=pg_query($this->_connectionID, 'SELECT last_value FROM ' . $tablename . '_' . $fieldname . '_seq');
Kilde: opennet.ru
