CVE-2026-69240
Açıklama
Sequelize bir Node.js ORM aracıdır. 6.37.4 sürümünden önce, yalnızca dialect oracle olarak ayarlanmışsa dizgelerle SQL injection mümkündür. sql-string.js dosyasında tanımlanan escape fonksiyonu, değer TO_TIMESTAMP veya TO_DATE ile başlıyorsa tırnak işaretlerini kaçırmaz. Oracle dialect'inde, val bir dizge olduğunda ve TO_TIMESTAMP veya TO_DATE ile başladığında, escape fonksiyonu tek tırnakları değiştirmek yerine val değerini doğrudan döndürür. Bir saldırgan, bu escape yoluna ulaşan bir uygulama değeri üzerinden rastgele SQL ifadeleri enjekte edebilir. Bu sorun 6.37.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- sequelize6.37.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sequelizenpm | v < 6.37.4 | 6.37.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.