CVE-2022-33171: SQL injection in typeORM – CVSS 9.8 · Watchpost

← 脆弱性一覧

SQL injection in typeORM

緊急 9.8CVE-2022-33171 · GHSA-fx4w-v43j-vc45 · 04/07/2022 公開 · 17/06/2026 更新

要点

CVE-2022-33171 は typeorm (typeorm), typeorm に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：21.4%（全脆弱性の 97.6% より高い）。
対処：0.3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
typeorm typeorm	`< 0.3.0`	`0.3.0`
typeorm npm	`< 0.3.0`	`0.3.0`

概要

The findOne function in TypeORM before 0.3.0 can either be supplied with a string or a FindOneOptions object. When input to the function is a user-controlled parsed JSON object, supplying a crafted FindOneOptions instead of an id string leads to SQL injection. NOTE: the vendor's position is that the user's application is responsible for input validation.

NVD の説明

The findOne function in TypeORM before 0.3.0 can either be supplied with a string or a FindOneOptions object. When input to the function is a user-controlled parsed JSON object, supplying a crafted FindOneOptions instead of an id string leads to SQL injection. NOTE: the vendor's position is that the user's application is responsible for input validation

参考情報

nvd.nist.gov/vuln/detail/CVE-2022-33171 · ADVISORY
typeorm/typeorm · WEB
seclists.org/fulldisclosure/2022/Jun/51 · WEB
packetstormsecurity.com/files/168096/TypeORM-0.3.7-Information-Disclosure.html · WEB
seclists.org/fulldisclosure/2022/Aug/7 · WEB

typeorm のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン