p PatchFirst

CVE-2026-27953

CVE-2026-27953 · ormar has a Pydantic Validation Bypass via Kwargs Injection in Model Constructor

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

ormar is a async mini ORM for Python. Versions 0.23.0 and below are vulnerable to Pydantic validation bypass through the model constructor, allowing any unauthenticated user to skip all field validation by injecting "__pk_only__": true into a JSON request body. By injecting "__pk_only__": true into a JSON request body, an unauthenticated attacker can skip all field validation and persist unvalidated data directly to the database. A secondary __excluded__ parameter injection uses the same pattern to selectively nullify arbitrary model fields (e.g., email or role) during construction. This affects ormar's canonical FastAPI integration pattern recommended in its official documentation, enabling privilege escalation, data integrity violations, and business logic bypass in any application using ormar.Model directly as a request body parameter. This issue has been fixed in version 0.23.1.

CVSS 7.1 · Élevée · EPSS 1,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • ormar

    Versions du logiciel
    • < 0.23.1: Concernée

    Aucun correctif publié

  • ormar Debian:12

    Versions du logiciel
    • 0.12.0-3
    • 0.12.2-1
    • 0.20.2-1
    • 0.21.0-1
    • 0.22.0-1
    • 0.23.0-1
    • 0.23.1-1
    • 0.24.0-1
    • 0.24.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • ormar Debian:14

    Versions du logiciel
    • 0.11.2-1
    • 0.11.2-2
    • 0.11.2-3
    • 0.11.3-1
    • 0.12.0-1
    • 0.12.0-2
    • 0.12.0-3
    • 0.12.2-1
    • 0.20.2-1
    • 0.21.0-1
    • 0.22.0-1
    • 0.23.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 0.23.1-1

    Mettez à jour vers 0.23.1-1

  • ormar PyPI

    Versions du logiciel
    • 0.1.0
    • 0.1.1
    • 0.1.2
    • 0.1.3
    • 0.10.0
    • 0.10.1
    • 0.10.10
    • 0.10.11
    • 0.10.12
    • 0.10.13
    • 0.10.14
    • 0.10.15
    • 0.10.16
    • 0.10.17
    • 0.10.18
    • 0.10.19
    • 0.10.2
    • 0.10.20
    • 0.10.21
    • 0.10.22
    • 0.10.23
    • 0.10.24
    • 0.10.25
    • 0.10.3
    • 0.10.4
    • 0.10.5
    • 0.10.6
    • 0.10.7
    • 0.10.8
    • 0.10.9
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.11.3
    • 0.12.0
    • 0.12.1
    • 0.12.2
    • 0.12.3
    • 0.2.1
    • 0.2.2
    • 0.20.0
    • 0.20.1
    • 0.20.2
    • 0.21.0
    • 0.22.0
    • 0.23.0
    • 0.3.0
    • 0.3.1
    • 0.3.10
    • 0.3.11
    • 0.3.2
    • 0.3.3
    • 0.3.4
    • 0.3.5
    • 0.3.6
    • 0.3.7
    • 0.3.8
    • 0.3.9
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.5.0
    • 0.5.1
    • 0.5.2
    • 0.5.3
    • 0.5.4
    • 0.5.5
    • 0.6.0
    • 0.6.1
    • 0.6.2
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.7.3
    • 0.7.4
    • 0.7.5
    • 0.8.0
    • 0.8.1
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 0.9.8
    • 0.9.9
    Plages de versions concernées
    • ECOSYSTEM: < 0.23.1

    Mettez à jour vers 0.23.1

  • ormar Ubuntu:24.04:LTS

    Versions du logiciel
    • 0.12.0-3
    • 0.12.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • ormar Ubuntu:25.10

    Versions du logiciel
    • 0.12.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • ormar Ubuntu:26.10

    Versions du logiciel
    • 0.22.0-1
    • 0.24.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • ormar Ubuntu:26.04:LTS

    Versions du logiciel
    • 0.12.2-1
    • 0.20.2-1
    • 0.21.0-1
    • 0.22.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →