CVE-2015-1369
WysokieStreszczenie
Podatność na wstrzykiwanie SQL w Sequelize przed wersją 2.0.0-rc7 dla Node.js umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru 'order'.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do bazy danych, co może prowadzić do utraty danych lub kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację Sequelize do wersji 2.0.0-rc7 lub nowszej, aby usunąć tę podatność.
Inne podatności w Sequelize
Zobacz wszystkie- CVE-2026-69240Krytyczne
Sequelize, narzędzie ORM dla Node.js, jest podatne na iniekcję SQL w dialekcie Oracle. Funkcja escape nie zabezpiecza cytatów, gdy wartość zaczyna się od TO_TIMESTAMP lub TO_DATE, co pozwala na wstrzyknięcie dowolnego kodu SQL.
- CVE-2026-30951Wysokie
Sequelize przed wersją 6.37.8 zawiera podatność na wstrzykiwanie SQL przez nieskape'owany typ rzutowania w przetwarzaniu klauzul WHERE dla kolumn JSON/JSONB. Funkcja _traverseJSON() dzieli klucze ścieżki JSON na podstawie '::' w celu wyodrębnienia typu rzutowania, który jest następnie interpolowany bezpośrednio do zapytania SQL CAST(... AS <type>). Atakujący kontrolujący klucze obiektów JSON może wstrzyknąć dowolny kod SQL i wyciec dane z dowolnej tabeli.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in Sequelize before 2.0.0-rc7 for Node.js allows remote attackers to execute arbitrary SQL commands via the order parameter.