CVE-2026-69240 in Sequelize
요약
\~에 의해 VulDB • 2026. 08. 04.
Sequelize는 Node.js ORM 도구입니다. 버전 6.37.4 이전에서는 데이터베이스 dialect가 oracle로 설정된 경우에만 문자열을 통한 SQL injection이 가능합니다. sql-string.js에 정의된 escape 함수는 값이 TO_TIMESTAMP 또는 TO_DATE로 시작하는 경우 따옴표를 이스케이프하지 않습니다. Oracle dialect에서 val이 문자열이고 TO_TIMESTAMP 또는 TO_DATE로 시작하면, escape 함수가 작은따옴표(TO_SINGLE_BYTE)를 교체하는 대신 val을 직접 반환합니다. 공격자는 이러한 escape 경로에 도달하는 애플리케이션 값을 통해 임의의 SQL 표현식을 주입할 수 있습니다. 이 문제는 버전 6.37.4에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.