Na biblioteca ADOdb, usada em muitos projetos PHP para abstrair o acesso a bancos de dados, com cerca de 3 milhões de instalações do repositório Packagist, foi encontrada uma vulnerabilidade (CVE-2025-46337) que permite a injeção de consultas SQL personalizadas. A questão foi classificada como de nível crítico (10 de 10). A vulnerabilidade foi corrigida na versão ADOdb 5.22.9.
A vulnerabilidade ocorre ao usar ADOdb com o banco de dados PostgreSQL em aplicações que chamam o método pg_insert_id() e transmitem dados externos não validados pelo parâmetro $fieldname. O problema é causado por um erro no driver ADOdb para PostgreSQL, relacionado à falta de devida escapagem de caracteres especiais nos parâmetros $tablename e $fieldname antes de serem usados na função pg_insert_id() para formar o nome da sequência. $result=pg_query($this->_connectionID, ‘SELECT last_value FROM ‘. $tablename .’_’. $fieldname .’_seq’);
Fonte: opennet.ru
