Python ライブラリ sqlparse < 0.6.0 複数の脆弱性

high Nessus プラグイン ID 338624

Language:

概要

リモートホストにインストールされている Python ライブラリは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている sqlparse Python ライブラリは、 0.6.0 より前のバージョンです。そのため、以下の複数の脆弱性の影響を受けます。

- sqlparse に、ドル引用符付き文字列とマルチラインコメントを照合するために詞彙を使って正規表現を使用するため、sqlparse にサービス拒否の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたSQL入力を提供することで、壊滅的なバックトラッキングを引き起こし、利用可能なリソースを枯渇させる可能性があります。(CVE-2026-59893)

- sqlparse/sql.py で実装されているトークンリスト処理の sqlparse に、サービス拒否の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、深くネストしたSQL入力を提供して、CPUとメモリのリソースを過剰に消費する可能性があります。(CVE-2026-54284)

- sqlparse/engine/grouping.py で実装されているコメントグループロジックのsqlparseに、サービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、多数のコメントを含む特別に細工されたSQL入力を提供することで、トークンストリームの再スキャンを繰り返すことでリソースを過剰に消費する可能性があります。(CVE-2026-71491)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。