CVE-2026-84993 ORDER BY検証不足によるSQLインジェクション脆弱性

この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。

公開日: 2026-09-16T17:18:15.423 / 更新日: 2026-09-16T17:18:15.423 / CVSS: 6.5 / 深刻度: MEDIUM

Linuxサーバー運用者は、MikroORMのバージョン6.6.16未満および7.1.7未満で、ORDER BY句の方向値（ASC/DESC）の検証不足により、悪意のあるリクエストデータを介してデータベースにSQLフラグメントを注入される可能性がある脆弱性（CVE-2026-84993）に注意が必要です。影響を受けるデータベースはMySQL、MariaDB、PostgreSQL、SQLite、Oracle、MSSQL、libSQLが対象で、MongoDBは影響外です。特にem.find()やQueryBuilder.orderBy()などのAPIでユーザー入力を直接SQLに反映する場合、データの盲目的な抽出や論理的な情報漏洩が発生するリスクがあります。確認時は使用しているMikroORMのバージョンを確認し、6.6.16以上または7.1.7以上のパッチ適用を検討してください。また、アプリケーション側で入力値の検証やエスケープ処理を適切に実施しているかを点検することが重要です。

参照情報

NVD Detail (NVD) [日本語で表示]

ソクラテスの問い、プラトンの備え

ソクラテス

プラトンよ、この脆弱性について問う。我々が運用するシステムにおいて、ORDER BYの方向値が検証不足という点は、いかに重要な問題なのでしょうか？

プラトン

それは、ソクラテス。MikroORMのバージョンを確認し、6.6.16以上または7.1.7以上にアップグレードする必要があります。また、アプリケーション側で入力値の検証やエスケープ処理を適切に実施しているかを点検することが重要です。

ソクラテス

では、この脆弱性が発生する要因は、ユーザー入力が直接SQLに反映されるAPIの使用に起因するのでしょうか？

プラトン

その通りです。em.find()やQueryBuilder.orderBy()などのAPIでユーザー入力を直接SQLに反映する場合、データの盲目的な抽出や論理的な情報漏洩が発生するリスクがあります。

ソクラテス

しかし、この脆弱性を避けるためには、どのようにすればよいのでしょうか？

プラトン

まず、使用しているMikroORMのバージョンを確認し、パッチ適用を検討してください。また、アプリケーション側で入力値の検証やエスケープ処理を適切に実施しているかを点検することが重要です。

ソクラテス

では、この脆弱性の影響範囲は、どのデータベースに及ぶのでしょうか？

プラトン

MySQL、MariaDB、PostgreSQL、SQLite、Oracle、MSSQL、libSQLが対象で、MongoDBは影響外です。

ソクラテス

では、この脆弱性への対応策として、変更管理や監視、ベンダー情報確認の重要性はどのような点にあるのでしょうか？

プラトン

変更管理では、パッチ適用後の動作確認を忘れずに。監視では、異常なアクセスログに注意を払うべきです。ベンダー情報確認では、MikroORMの公式サイトで最新の情報を確認し、パッチ適用を検討してください。

ソクラテス