Vulnerabilidades do EXODIST DBIx::QuickORM

DBIx::QuickORM em versões anteriores à 0.000026 para Perl permite injeção de SQL por meio de identificadores SQL não citados. O construtor SQL padrão, uma subclasse de SQL::Abstract, define bindtype em seu construtor, mas não define quote_char, de modo que SQL::Abstract emite identificadores literalmente. Identificadores fornecidos pelo chamador (order_by, chaves de cláusula where, listas de campos e returning, colunas de upsert e aliases de join) chegam à string SQL sem tratamento, enquanto os valores são vinculados por placeholder e não são afetados. Um chamador que repassa entrada não confiável a uma posição de identificador afetada, como um valor de order_by controlado pelo usuário, possibilita injeção de SQL: a ordem das linhas pode ser feita para depender de uma subconsulta sobre colunas que a consulta não selecionou, e as posições de identificadores em where e update permitem divulgação e alteração adicionais de dados.