CVE-2026-42550

Nome do Software Vulnerável e Versões Afetadas Flight versões anteriores a 3.18.1

Descrição As funções SimplePdo::insert(), SimplePdo::update() e SimplePdo::delete() constroem instruções SQL concatenando o argumento $table e as chaves do array $data diretamente na consulta, sem citação de identificadores ou validação. Se uma aplicação passar estruturas de dados controladas pelo usuário para esses auxiliares, um invasor pode injetar SQL arbitrário criando chaves de array maliciosas. Isso pode levar à escalada de privilégios, gravação de colunas arbitrárias, destruição de dados e exfiltração de dados.

Recomendações Atualize para a versão 3.18.1. Como medida paliativa temporária, restrinja o uso de dados controlados pelo usuário no argumento $table e nas chaves do array $data dentro das funções SimplePdo::insert(), SimplePdo::update() e SimplePdo::delete().