CVE-2026-69240 in Sequelize
Resumen
por VulDB • 2026-08-03
Sequelize es una herramienta ORM para Node.js. Antes de la versión 6.37.4, era posible realizar una inyección SQL con cadenas únicamente si el dialecto estaba configurado como oracle. La función escape definida en sql-string.js no escapa las comillas simples si el valor comienza con TO_TIMESTAMP o TO_DATE. En el dialecto Oracle, cuando val es una cadena y comienza con TO_TIMESTAMP o TO_DATE, la función escape devuelve val directamente en lugar de reemplazar las comillas simples. Un atacante puede inyectar expresiones SQL arbitrarias a través de un valor de aplicación que llega a esta ruta de escape. Este problema se ha corregido en la versión 6.37.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.