CVE-2026-69240 in Sequelize
Riassunto
di VulDB • 03/08/2026
Sequelize è uno strumento ORM per Node.js. Prima della versione 6.37.4, l'iniezione SQL era possibile con le stringhe solo se il dialect (dialetto) era impostato su oracle. La funzione di escape definita in sql-string.js non effettua l'escaping delle virgolette se il valore inizia con TO_TIMESTAMP o TO_DATE. Nel dialetto Oracle, quando val è una stringa e inizia con TO_TIMESTAMP o TO_DATE, la funzione escape restituisce direttamente val invece di sostituire le virgolette singole. Un attaccante può iniettare espressioni SQL arbitrarie attraverso un valore dell'applicazione che raggiunge questo percorso di esecuzione della funzione di escape. Questo problema è stato risolto nella versione 6.37.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.