ADOdb haavatavus, mis võimaldab SQL-päringute sisestamist

ADOdb raamatukogus, mida kasutatakse paljudes PHP-projektides andmebaasi ligipääsu abstraktsioneerimiseks ning millel on umbes 3 miljonit installatsiooni Packagist'i repos, on tuvastatud haavatavus (CVE-2025-46337), mis võimaldab sisestada oma SQL-päringu. Probleemile on antud kriitiline ohuaste (10 skaalal 10). Haavatavus on kõrvaldatud ADOdb 5.22.9 väljaandes.

Haavatavus ilmneb ADOdb kasutamisel koos PostgreSQL andmebaasiga rakendustes, mis kutsuvad välja meetodi pg_insert_id() ja edastavad kontrollimata väliseid andmeid parameetri $fieldname kaudu. Probleem tuleneb vigast ADOdb draiveris PostgreSQL'ile, mis on seotud erimärkide õige escape'i puudumisega parameetrites $tablename ja $fieldname enne nende kasutamist pg_insert_id() funktsioonis järjestuse nime moodustamiseks. $result=pg_query($this->_connectionID, ‘SELECT last_value FROM ‘. $tablename .’_’. $fieldname .’_seq’);

Allikas: opennet.ru