- Son 7 gün
- CWE-89
CVE-2026-61620
HoneySQL'de kontrol edilmeyen varlık adları nedeniyle SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, veritabanına bağlı uygulamalarda veri sızıntısı, veri bozulması veya sistemin kontrolünün ele geçirilmesi riskini taşıyan kritik bir güvenlik sorunudur. Kütüphaneyi kullanan tüm uygulamaların hızla güncellenmesi gerekir.
ÖzetTürkçe
HoneySQL, Clojure veri yapılarını SQL'e dönüştüren bir kütüphanedir. 2.0.0 ile 2.7.1392 öncesi sürümlerde, kullanıcı girdisi veya rastgele veriler ya da fonksiyonlarıyla DSL'e aktarıldığında, bazı biçimlendiriciler üretilen varlık adlarında şüpheli karakter kontrolü uygulamaz. Bu durumda üretilen SQL metinleri JDBC sürücüsü tarafından değiştirilmeden çalıştırıldığında SQL enjeksiyonuna yol açabilir.
Saldırgan ne yapabilir?
Saldırgan, SQL sorgusuna kendi ifadelerini ekleyerek veritabanındaki verileri okuyabilir, değiştirebilir veya silebilir. Etkinin boyutu, ilgili SQL bağlantısının sahip olduğu yetkilere bağlıdır.
Kaynaktaki açıklama (İngilizce)
HoneySQL turns Clojure data structures into SQL. From 2.0.0 until 2.7.1392, applications that pass user input or other arbitrary data into the HoneySQL DSL by calling keyword or symbol on that input can produce SQL strings that facilitate SQL injection when executed unchanged by a JDBC driver. Some formatters do not apply the existing suspicious-character check to the resulting entity names. The impact depends on the privileges of the database connection executing the generated statement. Input validation before constructing keyword or symbol entities is a workaround. The maintainer-designated fixed version is 2.7.1392.
Ne yapmalı?
- HoneySQL kütüphanesini, üretici tarafından belirlenen düzeltilmiş 2.7.1392 sürümüne veya daha yenisine yükseltin. Genel öneri
- Uygulamanın veritabanı bağlantısında yalnızca gerekli minimum yetkileri kullanın, böylece bir enjeksiyon durumunda etkiyi sınırlandırın. Genel öneri
Ek önlemler
- Dinamik SQL üreten kodlarda kullanıcı girdisinin doğrudan varlık adı olarak kullanılmadığını kod incelemesiyle doğrulayın. Genel öneri
- Veritabanı sorgu günlüklerini beklenmedik özel karakter veya sorgu yapısı değişiklikleri açısından izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| seancorfield honeysql | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.