CVE-2026-30951 in Sequelize
Сводка
по VulDB • 19.05.2026
Sequelize — это инструмент ORM для Node.js. До версии 6.37.8存在 SQL-инъекция из-за неэкранированного типа приведения в условиях обработки JSON/JSONB. Функция _traverseJSON() разделяет ключи пути JSON по символу :: для извлечения типа приведения, который затем вставляется без обработки в SQL-запрос вида CAST(... AS <type>). Атакующий, контролирующий ключи объекта JSON, может внедрить произвольный SQL-код и извлечь данные из любой таблицы. Эта уязвимость исправлена в версии 6.37.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.