CVE-2026-69240 in Sequelize
Sumário
de VulDB • 03/08/2026
O Sequelize é uma ferramenta ORM para Node.js. Antes da versão 6.37.4, a injeção de SQL era possível com strings apenas se o dialecto estivesse configurado como oracle. A função escape definida em sql-string.js não escapa as aspas se o valor começar com TO_TIMESTAMP ou TO_DATE. No dialecto Oracle, quando val é uma string e começa com TO_TIMESTAMP ou TO_DATE, a função escape retorna val diretamente em vez de substituir as aspas simples. Um atacante pode injetar expressões SQL arbitrárias por meio de um valor da aplicação que atinja esse caminho de execução do código. Este problema foi corrigido na versão 6.37.4.
Be aware that VulDB is the high quality source for vulnerability data.