CVE-2026-61620

Mở trang đầy đủ

CVSS 9.8 CRITICAL Lộ dữ liệu

HoneySQL unchecked entity names can lead to SQL injection results

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

HoneySQL turns Clojure data structures into SQL. From 2.0.0 until 2.7.1392, applications that pass user input or other arbitrary data into the HoneySQL DSL by calling keyword or symbol on that input can produce SQL strings that facilitate SQL injection when executed unchanged by a JDBC driver. Some formatters do not apply the existing suspicious-character check to the resulting entity names. The impact depends on the privileges of the database connection executing the generated statement. Input validation before constructing keyword or symbol entities is a workaround. The maintainer-designated fixed version is 2.7.1392.

Điểm và phân loại

CVSS
9.8 CRITICAL v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
CRITICAL
EPSS
—
CWE
CWE-89

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

  • seancorfield honeysql

Vì sao được giữ

  • CVSS 9.8 >= 8.0

Loại tác động

Lộ dữ liệu
CWE-89; từ khoá "sql injection"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
GitHub_M
CVE.org · SSVC
Tự động hoá được: yes · Khai thác: none · Tác động kỹ thuật: total

Tham khảo