判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たさない（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たさない（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
解説
- 概要
- MikroORM の共有 SQL 層が orderBy の方向値を検証せず、SQL の ORDER BY 句に連結することによる SQL インジェクションです。
- 影響
- 攻撃者はデータベースアカウントが参照できるデータを、ブラインドまたは真偽値ベースの手法で抽出できる可能性があります。
- 対象
- MikroORM 6.6.16 未満、および 7.0.0 以上 7.1.7 未満。SQLite、PostgreSQL、MySQL、MariaDB、MSSQL、libSQL、Oracle の各ドライバーが影響を受け、MongoDB は影響を受けません。
- 対策
- MikroORM 6.6.16 または 7.1.7 に更新してください。
- 判定
- AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
- 出典
-
- CVE.org: CVE-2026-84993
- https://github.com/mikro-orm/mikro-orm/security/advisories/GHSA-7j79-7q93-6v69
- https://github.com/mikro-orm/mikro-orm/pull/7996
- https://github.com/mikro-orm/mikro-orm/pull/7997
- https://github.com/mikro-orm/mikro-orm/commit/3aba926fd07156f5e1ebf06294fd77ee1215bad5
- https://github.com/mikro-orm/mikro-orm/commit/89e5546bf8e10f8465682016a3bdf622ff55d8c5
- https://github.com/mikro-orm/mikro-orm/releases/tag/v6.6.16
- https://github.com/mikro-orm/mikro-orm/releases/tag/v7.1.7
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:N / PR:L / UI:N | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N | 2026-09-17 01:28 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 非該当 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文
permit a raw SQL fragment that performs blind or boolean extraction of data available to the database account.
-
認証回避 ・ CNA の CVSS 評価
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
-
シェル取得 ・ CNA の説明文
permit a raw SQL fragment that performs blind or boolean extraction of data available to the database account.
-
root 取得 ・ CNA の説明文
permit a raw SQL fragment that performs blind or boolean extraction of data available to the database account.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:56 ・ 入力 SHA-256 1a5137122609
一致した監視対象製品
-
PostgreSQL — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
MikroORM is a TypeScript ORM for Node.js based on Data Mapper, Unit of Work and Identity Map patterns. Prior to 6.6.16 and 7.1.7, the shared SQL layer validates the field key of an orderBy clause but does not validate its direction value before AbstractSqlPlatform.getOrderByExpression concatenates it into an ORDER BY clause. Applications that bind attacker-controlled request data to the direction in em.find(), em.findOne(), em.findAndCount(), QueryBuilder.orderBy(), or QueryBuilderHelper.getQueryOrderFromObject() can permit a raw SQL fragment that performs blind or boolean extraction of data available to the database account. The BaseMySqlPlatform and MsSqlPlatform fallthrough paths have the same behavior, affecting SQLite, PostgreSQL, MySQL, MariaDB, MSSQL, libSQL, and Oracle drivers, while MongoDB is not affected. This issue is fixed in versions 6.6.16 and 7.1.7.
変更履歴
-
2026-09-17 02:42
- Matched（該当） と判定した
→ Matched（該当）