Zaloguj się
Deutsch English Español Polski
Wysoka

SQL Server LIMIT / OFFSET SQL Injection in laravel/framework and illuminate/database

  • Ujawniono: 29.04.2021
  • Aktualizacja: 11.10.2026 10:22

Impact

Those using SQL Server with Laravel and allowing user input to be passed directly to the limit and offset functions are vulnerable to SQL injection. Other database drivers such as MySQL and Postgres are not affected by this vulnerability.

Patches

This problem has been patched on Laravel versions 6.20.26, 7.30.5, and 8.40.0.

Workarounds

You may workaround this vulnerability by ensuring that only integers are passed to the limit and offset functions, as well as the skip and take functions.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer illuminate/database >= 8.0.0, < 8.40.0, < 6.20.26 8.40.0, 6.20.26
Paczka Composer laravel/framework >= 8.0.0, < 8.40.0, < 6.20.26 8.40.0, 6.20.26

Odnośniki

Ocena CVSS -
Słabość (CWE)
CWE-89
Platforma
Composer
Paczka
illuminate/database, laravel/framework
Ujawniono
29.04.2021
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4mg9-vhxq-vm7j - CC BY 4.0

Historia podatności: laravel/framework

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (26) w archiwum
Wszystkich wpisów
26
Pierwsza → ostatnia
01.2021 09.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 2
  • Wysoka 11
  • Średnia 12
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Laravel Framework: CRLF injection in default email rule
    Wysoka · 8.9 CVE-2026-48019 >= 13.0.0, < 13.10.0, < 12.60.0 13.10.0, 12.60.0
  2. Laravel environment manipulation via query string
    Wysoka · 0.0 CVE-2024-52301 < 6.20.45, >= 7.0.0, < 7.30.7, >= 8.0.0, < 8.83.28, >= 9.0.0, < 9.52.17, >= 10.0.0, < 10.48.23, >= 11.0.0, < 11.31.0 6.20.45, 7.30.7, 8.83.28, 9.52.17, 10.48.23, 11.31.0
  3. laravel framework SQL Injection via limit and offset functions
    Wysoka ghsa-wq8p-mqvg-2p5h >= 6.0.0, < 6.20.26, >= 7.0.0, < 7.30.5, >= 8.0.0, < 8.40.0 6.20.26, 7.30.5, 8.40.0
  4. laravel framework Unexpected database bindings via requests
    Wysoka ghsa-jwvj-pwww-3mj5 >= 6.0.0, < 6.20.14, >= 7.0.0, < 7.30.4, >= 8.0.0, < 8.24.0 6.20.14, 7.30.4, 8.24.0
  5. Laravel RCE vulnerability in "cookie" session driver
    Krytyczna · 9.9 ghsa-qm5c-m76r-2hfr >= 4.1.0, < 6.18.31, >= 7.0.0, < 7.22.4 6.18.31, 7.22.4
  6. Laravel Cookie serialization vulnerability
    Wysoka ghsa-6jvx-8ch9-j2jr >= 5.5.0, < 5.6.30 5.6.30
  7. Laravel Framework Deserialization Vulnerability
    Krytyczna · 9.8 CVE-2019-9081 >= 5.7.0, < 6.20.44 6.20.44
  8. Laravel Framework RCE Vulnerability
    Wysoka · 8.1 Wykorzystywana w atakach CVE-2018-15133 <= 5.5.40, >= 5.6.0, < 5.6.30 5.6.30
  9. OS Command Injection in Laravel Framework
    Wysoka · 8.8 CVE-2020-19316 < 5.8.17 5.8.17
  10. Improper Input Validation in Laravel
    Wysoka · 7.5 CVE-2020-24941 < 6.18.35, >= 7.0.0, < 7.24.0 6.18.35, 7.24.0
  11. SQL Server LIMIT / OFFSET SQL Injection in laravel/framework and illuminate/database ten wpis
    Wysoka ghsa-4mg9-vhxq-vm7j >= 8.0.0, < 8.40.0, < 6.20.26 8.40.0, 6.20.26
  12. Unexpected database bindings
    Wysoka · 7.2 ghsa-x7p5-p2c9-phvg < 6.20.14, >= 7.0.0, < 7.30.4, >= 8.0.0, < 8.24.0 6.20.14, 7.30.4, 8.24.0
  13. Query Binding Exploitation
    Wysoka · 7.2 CVE-2021-21263 >= 8.0.0, < 8.22.1, >= 6.0.0, < 6.20.11, >= 7.0.0, < 7.30.2 8.22.1, 6.20.11, 7.30.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.