U biblioteci ADOdb, koja se koristi u mnogim PHP projektima za apstrakciju pristupa bazi podataka i ima oko 3 milijuna instalacija iz repozitorija Packagist, otkrivena je ranjivost (CVE-2025-46337) koja omogućava zamjenu SQL upita. Problému je dodijeljena kritična razina opasnosti (10 od 10). Ranjivost je ispravljena u izdanju ADOdb 5.22.9.
Ranjivost se manifestira kada se ADOdb koristi zajedno s PostgreSQL bazom podataka u aplikacijama koje pozivaju metodu pg_insert_id() i prenose neprovjerene vanjske podatke putem parametra $fieldname. Problem je uzrokovan greškom u ADOdb drajveru za PostgreSQL, vezanom uz nedostatak pravilnog escapiranja posebnih znakova u parametrima $tablename i $fieldname prije njihove upotrebe u funkciji pg_insert_id() za generiranje imena sekvencije. $result=pg_query($this->_connectionID, 'SELECT last_value FROM ' . $tablename . '_' . $fieldname . '_seq');
Izvor: opennet.ru
