CVE-2026-69240 in Sequelize
Tóm tắt
Bởi VulDB • 03/08/2026
Sequelize là một công cụ ORM cho Node.js. Trước phiên bản 6.37.4, lỗ hổng SQL Injection có thể xảy ra với các chuỗi ký tự nếu dialect được đặt thành oracle. Hàm escape được định nghĩa trong sql-string.js không thực hiện việc thoát (escape) dấu nháy đơn nếu giá trị bắt đầu bằng TO_TIMESTAMP hoặc TO_DATE. Trong chế độ Oracle, khi val là một chuỗi và bắt đầu bằng TO_TIMESTAMP hoặc TO_DATE, hàm escape sẽ trả về trực tiếp val thay vì thay thế các dấu nháy đơn. Một kẻ tấn công có thể chèn (inject) các biểu thức SQL tùy ý thông qua giá trị ứng dụng đi vào đường dẫn xử lý này của hàm escape. Vấn đề này đã được khắc phục trong phiên bản 6.37.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.