CVE-2026-27953

إصدارات ormar 0.23.0 وما دونها

يحتوي ormar، وهو نموذج ORM صغير غير متزامن للغة Python، على ثغرة في تجاوز التحقق من الصحة باستخدام Pydantic في منشئ النموذج الخاص به. وهذا يسمح للمستخدمين غير المصادق عليهم بتجاوز جميع عمليات التحقق من صحة الحقول عن طريق إدخال ” pk only “: true في نص طلب JSON. يسمح إدخال ” pk only “: true بتجاوز عمليات التحقق من الأنواع والقيود وقواعد التحقق الأخرى، مما يؤدي إلى بقاء البيانات غير المتحقق من صحتها في قاعدة البيانات. وهناك مشكلة ثانوية تتعلق بالمعلمة ” excluded “، والتي يمكن استخدامها لإبطال صلاحية حقول نموذجية عشوائية بشكل انتقائي أثناء الإنشاء. ويؤثر هذا على نمط التكامل الموصى به لـ FastAPI، مما قد يتيح تصعيد الامتيازات وانتهاكات سلامة البيانات وتجاوز منطق الأعمال. السبب الجذري هو الاستخراج المباشر لـ ” pk only “ من الحجج الكلمية التي يقدمها المستخدم قبل إجراء التحقق من الصحة. كان الهدف الأصلي من علامة pk only هو التحسين الداخلي، ولكنها متاحة للمتصلين الخارجيين. تشمل نقاط الدخول المتأثرة مسارات FastAPI التي تستخدم نماذج ormar كمعلمات في نص الطلب، بالإضافة إلى الاستدعاءات المباشرة لـ Model.objects.create(**user dict) وModel(**user dict).

الإصدارات السابقة لـ 0.23.1 متأثرة.

استبدل kwargs.pop(” pk only “, False) بمعلمة تعتمد على الكلمات المفتاحية فقط ولا يمكن حقنها عبر **kwargs.

استبدل kwargs.pop(” excluded “, set()) بمعلمة تعتمد على الكلمات المفتاحية فقط ولا يمكن حقنها عبر `**kwarg