一、 漏洞 CVE-2024-39677 基础信息
漏洞标题
NHibernate SQL注入漏洞，包括鉴别映射、HQL中引用的静态字段以及一些工具类
来源：AIGC 神龙大模型
漏洞描述信息
NHibernate是为.NET框架设计的对象关系映射器。在实现ILiteralType.ObjectToSQLString的一些类型中存在SQL注入漏洞。调用这些方法的用户面临漏洞，包括使用继承和鉴别器值的映射；引用应用程序静态字段的HQL查询；使用SqlInsertBuilder和SqlUpdateBuilder工具的用户，调用它们的接受一个字面值的AddColumn重载；以及在用户侧构建SQL查询时直接使用ObjectToSQLString方法。这个漏洞在5.4.9和5.5.2版本中得到修复。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
来源：AIGC 神龙大模型
漏洞标题
NHibernate SQL injection vulnerability in discriminator mappings, static fields referenced in HQL, and some utilities
来源：美国国家漏洞数据库 NVD
漏洞描述信息
NHibernate is an object-relational mapper for the .NET framework. A SQL injection vulnerability exists in some types implementing ILiteralType.ObjectToSQLString. Callers of these methods are exposed to the vulnerability, which includes mappings using inheritance with discriminator values; HQL queries referencing a static field of the application; users of the SqlInsertBuilder and SqlUpdateBuilder utilities, calling their AddColumn overload taking a literal value; and any direct use of the ObjectToSQLString methods for building SQL queries on the user side. This vulnerability is fixed in 5.4.9 and 5.5.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
NHibernate 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
NHibernate是NHibernate开源的一个成熟的、开源的对象关系映射器。 NHibernate存在安全漏洞。攻击者利用该漏洞可以在用户端直接使用ObjectToSQLString方法构建SQL查询。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-39677 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-39677 的情报信息