Inyección SQL en Sequelize
Fecha de publicación 04/08/2026
Identificador
INCIBE-2026-530
Importancia
5 - Crítica
Recursos Afectados
sequelize, versiones anteriores a la 6.37.4.
Descripción
t-tera ha publicado 1 vulnerabilidad de severidad crítica, que en caso de ser explotada, podría permitir inyectar código SQL.
Solución
Actualizar a la versión 6.37.4.
Detalle
CVE-2026-69240:es posible realizar una inyección SQL con cadenas solo si el dialecto esta configurado como 'oracle'. La función escape definida en sql-string.js no neutraliza las comillas si el valor comenzaba con TO_TIMESTAMP o TO_DATE. En el dialecto Oracle, cuando 'val' es una cadena y comienza con TO_TIMESTAMP o TO_DATE, escape devuelve 'val' directamente en lugar de reemplazar las comillas simples. Un atacante podría inyectar expresiones SQL arbitrarias a través de un valor de aplicación que alcance esta ruta de escape.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-69240 | Crítica | No | Sequelize |
Listado de referencias
Etiquetas
