CVE-2026-69240 in Sequelize
要約
〜によって VulDB • 2026年08月04日
SequelizeはNode.jsのORMツールです。バージョン6.37.4より前では、SQLインジェクションが可能な状況が発生します。これはdialect（データベース方言）がoracleに設定されている場合に限り発生しますが、sql-string.jsで定義されたエスケープ関数は、値がTO_TIMESTAMPまたはTO_DATEで始まる場合、引用符をエスケープしません。Oracle dialectにおいて、valが文字列でありTO_TIMESTAMPまたはTO_DATEで始まる場合、escape関数はシングルクォートを置換する代わりにvalをそのまま返します。攻撃者はこのエスケープ処理のパスに到達するアプリケーション値を通じて任意のSQL式をインジェクトできます。本問題はバージョン6.37.4で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.