HoneySQLにSQLインジェクションの脆弱性、修正版あり
Summary
HoneySQLでSQLを組み立てるClojureアプリで、利用者の入力を識別子として渡していると、SQLインジェクションを受ける恐れがあります。修正版へ更新し、入力をkeywordやsymbolにしている箇所も洗い出してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
HoneySQLでSQLを組み立てるClojureアプリで、利用者の入力を識別子として渡していると、SQLインジェクションを受ける恐れがあります。修正版へ更新し、入力をkeywordやsymbolにしている箇所も洗い出してください。
Original description The description as published by the source.
HoneySQL turns Clojure data structures into SQL. From 2.0.0 until 2.7.1392, applications that pass user input or other arbitrary data into the HoneySQL DSL by calling keyword or symbol on that input can produce SQL strings that facilitate SQL injection when executed unchanged by a JDBC driver. Some formatters do not apply the existing suspicious-character check to the resulting entity names. The impact depends on the privileges of the database connection executing the generated statement. Input validation before constructing keyword or symbol entities is a workaround. The maintainer-designated fixed version is 2.7.1392.
Source: CVE.org (CVE Program・cvelistV5) NVD