HoneySQL: SQL-Injection über ungeprüfte Keyword- und Symbol-Namen
Zusammenfassung
HoneySQL wandelt Clojure-Datenstrukturen in SQL um. Einige Formatierer wenden die Prüfung auf verdächtige Zeichen nicht auf Entitätsnamen an, die über keyword oder symbol aus Benutzereingaben erstellt werden, sodass generiertes SQL eingeschleuste Anweisungen enthalten kann. Ein Angreifer kann dies ausnutzen, wenn eine Anwendung angreiferkontrollierte Daten an diese Funktionen übergibt und das erzeugte SQL über einen JDBC-Treiber ausgeführt wird; die Auswirkung hängt von den Rechten der Datenbankverbindung ab.
Betroffen
- HoneySQL-Versionen ab 2.0.0 bis einschliesslich vor 2.7.1392
- Anwendungen, die Benutzereingaben oder andere beliebige Daten an keyword oder symbol im HoneySQL-DSL übergeben
Behoben in
- Aktualisierung auf HoneySQL 2.7.1392 oder neuer (vom Maintainer festgelegte korrigierte Version)
- Vor der Wahl der Zielversion die neueste 2.8.x-Linie auf der Release-Seite des Maintainers prüfen
Umgehung
- Benutzereingaben validieren, bevor sie an keyword oder symbol übergeben werden (nur Notlösung; Aktualisierung ist die bevorzugte Behebung)
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung bekannt.
- Es wurde kein öffentlicher Proof of Concept identifiziert.
Unsere Empfehlung
- Alle HoneySQL-Abhängigkeiten inklusive jener in Fremdprodukten und deren Versionen erfassen (deps.edn, Maven- oder Leiningen-Lockfiles).
- HoneySQL auf 2.7.1392 oder neuer aktualisieren; bei Fremdprodukten den gepatchten Release des Herstellers einspielen.
- Falls eine Aktualisierung nicht möglich ist, alle Eingaben validieren, die in keyword- oder symbol-Aufrufe gelangen.
- Für diese Anwendungen Datenbankkonten mit minimalen Rechten verwenden.
- Auf öffentliche Proof-of-Concept-Exploits und Änderungen beim Ausnutzungsstatus achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub security advisory GHSA-fcfq-xqgp-8v97 github.com
- HoneySQL release v2.7.1392 github.com
- HoneySQL commit 1141fcd github.com
- HoneySQL compare v2.7.1390...v2.7.1392 github.com
- Metabase security advisory GHSA-r495-55cx-fjh7 github.com
- OffSeq threat radar entry CVE-2026-61620 radar.offseq.com
- Clojars HoneySQL 2.7.1392 clojars.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:20.
Referenzen der NVD (4)
- https://github.com/seancorfield/honeysql/commit/1141fcd4597393d2af61c20a7cc82b8f1b3cea4a
- https://github.com/seancorfield/honeysql/compare/v2.7.1390...v2.7.1392
- https://github.com/seancorfield/honeysql/releases/tag/v2.7.1392
- https://github.com/seancorfield/honeysql/security/advisories/GHSA-fcfq-xqgp-8v97
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.