CVE-2026-121265

Nome do Software Vulnerável e Versões Afetadas SQL::Abstract versões anteriores a 2.000003

Description É possível ocorrer injeção de SQL quando a opção array datatypes está desativada, que é a configuração padrão. Neste estado, as funções insert(), update() e values() tratam um valor de coluna arrayref como SQL literal, onde o primeiro elemento é inserido no texto SQL sem escape e os elementos subsequentes são usados como valores de bind. Isso acontece quando uma aplicação passa dados de requisição, como um array JSON ou um campo de formulário repetido decodificado como arrayref, como valores de coluna. Além disso, a função generate() trata um arrayref como SQL literal, inclusive através do AUTOLOAD quando allow autoload está habilitado, independentemente da configuração de array datatypes.

Recommendations Atualize para a versão 2.000003 ou posterior.