CVE-2026-13766: DBIx::QuickORM (Perl): Injeção de SQL via Identificadores Não Citados

Visão geral

O DBIx::QuickORM para Perl, em versões anteriores à 0.000026, está sujeito a uma fraqueza de injeção de SQL (CWE-89). O construtor SQL padrão, uma subclasse de SQL::Abstract, define o bindtype mas não define o quote_char, de modo que identificadores fornecidos pelo chamador são emitidos no SQL sem alteração. Os valores continuam vinculados por placeholder e não são afetados por esse problema.

Impacto

• Aplicações que repassam entrada não confiável a posições de identificadores, como order_by, podem permitir que um atacante influencie a estrutura da consulta.
• O registro indica que a ordenação das linhas poderia depender de uma subconsulta sobre colunas que a consulta não selecionou.
• Segundo a descrição, as posições de identificadores em cláusulas where e em atualizações podem permitir divulgação e alteração adicionais de dados.
• O registro atribui pontuação base CVSS 3.1 de 9.8, o que indica severidade alta para o vetor pontuado.

Produtos e versões afetadas

A descrição afirma que as versões anteriores à 0.000026 do DBIx::QuickORM para Perl são afetadas. Os campos estruturados de afetados e correções do registro estão vazios. As referências incluem o patch do commit upstream e a página de alterações da versão 0.000026, o que é coerente com essa versão tratar o problema, embora o registro não afirme isso explicitamente.

Status de exploração

A CVE não consta no catálogo KEV da CISA. O registro indica probabilidade EPSS de 0.00549, com percentil de 0.44466, datada de 2026-10-13. Não há exploração ativa confirmada nem exploração in the wild nas fontes consultadas.

Correção e mitigação

• Revise a página de alterações da versão 0.000026 e o commit referenciado, e planeje a atualização do DBIx::QuickORM para essa versão ou posterior.
• Enquanto a atualização não for possível, não repasse entrada não confiável a posições de identificadores. Mapeie escolhas do usuário para uma lista fixa de nomes de colunas e opções de ordenação definidas pela aplicação.
• Restrinja a entrada do usuário a valores, que são vinculados por placeholder, e não a identificadores SQL.
• Revise os caminhos de código que repassam parâmetros para order_by, chaves de where, listas de returning, colunas de upsert e aliases de join.

Orientações de detecção

• Procure requisições em que parâmetros de ordenação, filtro ou colunas contenham caracteres ou estruturas inesperadas, e registre-as para análise.
• Monitore erros de banco de dados que citem identificadores ou sintaxe SQL inesperados originados pela aplicação.
• Audite o inventário de dependências para identificar instalações do DBIx::QuickORM anteriores à 0.000026.

Limitações das informações disponíveis

O registro não lista produtos afetados estruturados, versões corrigidas nem o nome exato da distribuição do pacote. Não descreve as condições precisas de exploração além do padrão geral indicado na descrição, e a aplicabilidade depende de como cada aplicação usa a biblioteca. O status da fonte está registrado como Deferred, e as páginas do NVD e da CVE vinculadas no registro não foram usadas para verificar detalhes adicionais.

Perguntas frequentes

Quais versões do DBIx::QuickORM são afetadas pela CVE-2026-13766?

A descrição afirma que as versões anteriores à 0.000026 para Perl são afetadas. O registro não fornece faixas de versões afetadas estruturadas.

Há exploração ativa conhecida para esta vulnerabilidade?

A CVE não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. Continue acompanhando os avisos oficiais.

Qual é a principal mitigação se a atualização não puder ser feita de imediato?

Não repasse entrada não confiável para posições de identificadores SQL, como order_by ou listas de colunas. Restrinja as escolhas do usuário a uma lista fixa definida pela aplicação.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.