CVE-2026-27953: ormar: bypass de validação Pydantic via injeção de kwargs no construtor de modelo

Visão geral

O projeto ormar, um mini ORM assíncrono para Python, possui um bypass de validação no construtor de modelos. Segundo o registro, as versões até 0.23.0 (inclusive) permitem que um usuário não autenticado ignore a validação de campos quando um modelo é construído a partir de um corpo de requisição JSON, e a correção está na 0.23.1.

Impacto

Dados não validados podem ser persistidos diretamente no banco de dados.
Determinados campos do modelo, como os ligados a papéis ou dados de contato, podem ser anulados durante a construção por meio de um parâmetro secundário, segundo a descrição.
A descrição associa o problema a escalada de privilégios, violações de integridade de dados e bypass de lógica de negócio em aplicações que recebem modelos do ormar diretamente como parâmetros de corpo de requisição.
A NVD atribui nota 9.8 (crítica) pelo CVSS 3.1. O GitHub Security Advisories registra nota 7.1 pelo CVSS 3.1.

Produtos e versões afetados

Collerek Ormar: anteriores à 0.23.1, conforme listado no registro.
Ormar-orm Ormar: anteriores à 0.23.1, conforme listado no registro.
A descrição identifica a 0.23.0 e as anteriores como vulneráveis e a 0.23.1 como a versão corrigida.

Status de exploração

A CVE não consta no catálogo KEV da CISA. As fontes consultadas não confirmam exploração ativa. Os dados SSVC do registro indicam valor de exploração poc e automatizável não. Uma referência de aviso traz a tag Exploit, mas essa tag, isoladamente, não confirma ataques.

Correção e mitigação

Atualize o ormar para a 0.23.1 ou superior, conforme descrito no aviso de segurança do GitHub e nas notas de versão.
Até que a atualização seja aplicada, evite passar classes de modelo do ormar diretamente como parâmetros de corpo de requisição. Use esquemas de entrada separados que aceitem apenas os campos previstos para clientes. Esta é uma inferência a partir da descrição, não uma mitigação indicada pelo fornecedor.
Revise registros do banco de dados gravados por endpoints afetados em busca de valores nulos ou não validados inesperados.

Orientações de detecção

Revise os logs da aplicação web em busca de corpos JSON com chaves inesperadas de uso interno.
Audite endpoints que aceitam objetos de modelo ORM como corpo de requisição e verifique se erros de validação estão ausentes onde normalmente apareceriam.
Monitore alterações inesperadas em campos sensíveis, como papéis ou dados de contato.

Limitações das informações disponíveis

O registro não traz detalhes de prova de conceito nem condições de exploração além do resumo, e nenhum detalhe é fornecido aqui.
O registro não explica a diferença entre a nota da NVD (9.8) e a nota do GitHub (7.1).
O registro não informa quais configurações de aplicação estão mais expostas além do padrão FastAPI descrito no aviso.

Perguntas frequentes

Qual é o problema central da CVE-2026-27953?

Segundo o registro, o construtor de modelos do ormar pode ser levado a ignorar a validação de campos do Pydantic quando um modelo é usado diretamente como parâmetro de corpo JSON, o que pode permitir que dados não validados cheguem ao banco de dados.

Quais versões estão corrigidas?

A descrição indica que as versões até 0.23.0 (inclusive) são vulneráveis e que a correção está na 0.23.1. Atualize para a 0.23.1 ou superior.

Há exploração conhecida na natureza?

A CVE não consta no catálogo KEV da CISA, e as fontes consultadas não confirmam exploração ativa. Os dados SSVC do registro indicam valor de exploração de prova de conceito, o que não confirma ataques por si só.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.