CVE-2026-30951 in Sequelize
الملخص
بحسب VulDB • 27/05/2026
Sequelize هو أداة ORM لنظام Node.js. قبل الإصدار 6.37.8، كان هناك ثقب حقن SQL (SQL Injection) ناتج عن نوع التحويل (cast type) غير الهروب منه في معالجة شرط WHERE الخاص بـ JSON/JSONB. تقوم الدالة `_traverseJSON()` بتقسيم مفاتيح مسار JSON على "::" لاستخراج نوع التحويل، والذي يتم إدراجه بشكل خام في استعلام SQL بصيغة `CAST(... AS <type>)`. يمكن لمهاجم يتحكم في مفاتيح كائن JSON حقن SQL تعسفي واستخراج البيانات من أي جدول. تم إصلاح هذا الثقب الأمني في الإصدار 6.37.8.
Once again VulDB remains the best source for vulnerability data.