Dat ligt niet aan PostgreSQL maar aan de PHP houtje touwtje mentaliteit.
Ze hadden vooraf kunnen checken of alle queries geparametriseerd waren, dan had je het lek nooit gehad. Maar blijkbaar is zelfs dat nog te moeilijk. PHP programmeurs zijn lekker goedkoop ja, maar when you pay peanuts you get monkeys.

De root cause zit in Drupal's core API (entity query-handling voor PostgreSQL): aanvallergestuurde array-keys vloeien naar SQL-placeholder-namen, waardoor arbitrary SQL injection ontstaat. Dit is een framework-implementatiebug, geen inherente PHP-problematiek.

Patch of upgrade direct naar een gepatchte core-versie: 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 of 10.4.10 (of pas de officiële patch toe op oudere branches indien nodig).

Als je niet meteen kunt patchen: blokkeer toegang tot getroffen eindpunten (bijv. /user/login?_format=json en JSON:API-routes) via WAF, webserverrules of API-gateway, en zet JSON:API tijdelijk in read-only of uit.

Zoek in logs naar verdachte verzoeken: POST naar /user/login?_format=json of JSON:API-requests met filter keys die brackets of payload-tekens bevatten (bijv. ||(, quotes, backticks) en SQLSTATE-fouten zoals HY093 of 22012. Alert op HTTP 500-responses rond die routes.

Joh, kijk even verder dan je neus lang is voordat je al je vooroordelen omzet in wilde aannames.

De fout zit in de database abstraction layer van Drupal. Die biedt een syntax voor geparameteriseerde queries die onafhankelijk is van het gebruikte DBMS. Die laag is weer gebouwd op PHP Data Objects, die die mogelijkheid ook al biedt, maar kennelijk hebben ze daar bij Drupal nog wat aan toegevoegd. Zowel PHP als Drupal hebben dus wel rekening gehouden met geparameteriseerde queries, het probleem is niet dat die niet werden toegepast, het probleem is wel dat in de implementatie ervan in Drupal voor PostgreSQL een bug zat.

Ik ben zelf in de loop van mijn loopbaan niet met PHP of Drupal, wel met diverse andere talen/frameworks/platforms in aanraking gekomen. Weet je wat je dan telkens weer tegenkomt? Dat een slechte ontwikkelaar met geweldig gereedschap makkelijk een puinhoop creëert en een goede ontwikkelaar met twijfelachtig gereedschap toch iets heel degelijks neer weet te zetten. Vertaal je oordeel over PHP niet in een oordeel over iedereen die het gebruikt, dat hoeft helemaal niet te kloppen.

Kijk altijd verder dan simpele vuistregels, die kloppen lang niet altijd, en vuistregels ontwikkelen zich tot vooroordelen als je er blind op vaart zonder ooit te kijken of ze eigenlijk (nog) wel kloppen.