CVE-2026-30951 in Sequelize
Sumário
de VulDB • 27/05/2026
O Sequelize é uma ferramenta ORM para Node.js. Antes da versão 6.37.8, existia uma injeção de SQL via tipo de cast não escapado no processamento de cláusulas WHERE JSON/JSONB. A função _traverseJSON() divide as chaves do caminho JSON em :: para extrair um tipo de cast, que é interpolado diretamente no SQL CAST(... AS <type>). Um atacante que controle as chaves do objeto JSON pode injetar SQL arbitrário e exfiltrar dados de qualquer tabela. Esta vulnerabilidade foi corrigida na versão 6.37.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.