JVN#90729322
Hibernate ORM における SQL インジェクションの脆弱性

Hibernate ORM には SQL インジェクションの脆弱性が存在します。

• Hibernate ORM、5.4.24 より前のバージョン
• Hibernate ORM、5.3.20 より前のバージョン

Hibernate ORM は Java 向けの ORM フレームワークです。Hibernate ORM では、デバッグに役立つよう、内部で生成する SQL 文にコメントをつけることができます。(hibernate.use_sql_comments を true に設定する。初期設定では false。)
hibernate.use_sql_comments を true に設定した場合の入力処理には不備があり、SQL インジェクションの脆弱性 (CWE-89) が存在します。

hibernate.use_sql_comments を true に設定している場合、細工した入力を処理することで SQL インジェクション攻撃を受ける可能性があります。

アップデートする
開発者が提供する情報を参考に、Hibernate ORM を更新してください。

ワークアラウンドを実施する
hibernamte.use_sql_comments を false に設定してください。