sqlparse: PHP-Code-Injection über unescapte Dollarzeichen im PHP-Ausgabeformat

Zusammenfassung

sqlparse, eine Python-Bibliothek zum Parsen von SQL, enthält eine Code-Injection-Schwachstelle im PHP-Ausgabeformat (output_format='php'). Nicht escapte Dollarzeichen im SQL-Text werden in doppelt gequotete PHP-Strings übernommen, sodass ein Angreifer ${expr}-Sequenzen einbetten kann, die beliebigen PHP-Code ausführen, wenn das erzeugte Snippet läuft. Voraussetzung ist, dass eine Anwendung nicht vertrauenswürdiges SQL mit diesem Ausgabeformat umwandelt und das Ergebnis ausführt; der CVSS-Vektor geht von lokalem Zugriff und Benutzerinteraktion aus.

Betroffen

• sqlparse 0.6.0 und frühere Versionen (betroffener Bereich 0 bis <= 0.6.0 gemäss VulnCheck)
• Nur Anwendungen, die das PHP-Ausgabeformat auf nicht vertrauenswürdigen SQL-Text anwenden, sind exponiert

Behoben in

Unbekannt. Für diese CVE ist keine korrigierte Version bestätigt. Ein Upgrade auf 0.6.0 behebt sie nicht, da 0.6.0 im betroffenen Bereich liegt.

Umgehung

• Das PHP-Ausgabeformat (output_format='php') nicht für nicht vertrauenswürdige Eingaben verwenden
• Erzeugte PHP- oder Python-Snippets von sqlparse nicht ausführen oder importieren
• Prüfen, ob eigener Code oder Abhängigkeiten diese Ausgabeformate überhaupt verwenden

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn
• CISA SSVC (VulnCheck): Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Nicht im CISA-KEV-Katalog aufgeführt
• Während der Recherche wurde kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Python-Projekte und Lock-Dateien (inklusive transitiver Abhängigkeiten) auf sqlparse durchsuchen
• Prüfen, ob Code das PHP-Ausgabeformat auf nicht vertrauenswürdige Eingaben anwendet, und diese Verwendung unterbinden
• Das GitHub-Advisory und PR #930 auf eine bestätigte korrigierte Version beobachten und bei Verfügbarkeit aktualisieren
• Den NVD-Eintrag erneut prüfen, der aktuell als Deferred geführt wird

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• sqlparse output.py at 0.6.0 github.com
• sqlparse pull request #930 github.com
• Ubuntu CVE-2026-112307 ubuntu.com
• OpenCVE CVE-2026-112307 app.opencve.io
• Aikido Intel AIKIDO-2026-576438 intel.aikido.dev
• OpenCVE CVE-2026-59894 (related) app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:18.