Chad Granum

**Nome do Software Vulnerável e Versões Afetadas** DBIx::QuickORM versões anteriores a 0.000026 **Description** Existe um problema onde identificadores SQL são emitidos literalmente em consultas geradas sem a devida citação ou escape. Isso ocorre porque o construtor SQL padrão, uma subclasse de SQL::Abstract, não define o `quote char`. Consequentemente, identificadores fornecidos pelo chamador chegam à string SQL de forma bruta, enquanto apenas os valores são vinculados a placeholders. Um invasor pode explorar isso fornecendo entradas manipuladas para posições de identificadores, como valores de `order by`, chaves de coluna de cláusulas where, listas de campos e retorno, colunas de upsert e aliases de join. Isso pode levar à divulgação e adulteração não autorizada de dados, como fazer com que a ordem das linhas dependa de um sub-select sobre colunas não selecionadas originalmente. **Recommendations** Atualizar para a versão 0.000026.