CVE-2026-69240 in Sequelize
Résumé
par VulDB • 03/08/2026
Sequelize est un outil ORM pour Node.js. Avant la version 6.37.4, une injection SQL était possible avec des chaînes de caractères uniquement si le dialecte était défini sur Oracle. La fonction d'échappement définie dans sql-string.js n'effectue pas l'échappement des guillemets si la valeur commence par TO_TIMESTAMP ou TO_DATE. Dans le dialecte Oracle, lorsque val est une chaîne et qu'elle commence par TO_TIMESTAMP ou TO_DATE, escape retourne directement val au lieu de remplacer les guillemets simples. Un attaquant peut injecter des expressions SQL arbitraires via une valeur d'application qui atteint ce chemin d'échappement. Ce problème est corrigé dans la version 6.37.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.