SQL Injection in sequelize
Affected versions of sequelize are vulnerable to SQL Injection. The function sequelize.json() incorrectly formatted sub paths for JSON queries, which allows attackers to inject SQL statements and execute arbitrary SQL queries if user input is passed to the query. Exploitation example:
return User.findAll({
where: this.sequelize.json("data.id')) AS DECIMAL) = 1 DELETE YOLO INJECTIONS; -- ", 1)
});Recommendation
If you are using sequelize 5.x, upgrade to version 5.15.1 or later.
If you are using sequelize 4.x, upgrade to version 4.44.3 or later.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | sequelize | < 4.44.3, >= 5.0.0, < 5.15.1 | 4.44.3, 5.15.1 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2019-10752
- https://github.com/sequelize/sequelize/pull/11329
- https://github.com/sequelize/sequelize/commit/9bd0bc1,
- https://github.com/sequelize/sequelize/commit/9bd0bc111b6f502223edf7e902680f7cc2ed541e
- https://snyk.io/vuln/SNYK-JS-SEQUELIZE-459751
- https://snyk.io/vuln/SNYK-JS-SEQUELIZE-459751,
- https://www.npmjs.com/advisories/1146
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-89- Platforma
- npm
- Paczka
sequelize- Ujawniono
- 25.10.2019
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-m9jw-237r-gvfv - CC BY 4.0
Historia podatności: sequelize
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 18
- Pierwsza → ostatnia
- 10.2017 08.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 8
- Wysoka 7
- Średnia 3
Ujawnienia w latach
- 2017: 1
- 2018: 0
- 2019: 9
- 2020: 2
- 2021: 0
- 2022: 0
- 2023: 4
- 2024: 0
- 2025: 0
- 2026: 2
-
SQL Injection in sequelize ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.