PT-2026-24433
CVE-2026-30951
·
تاريخ النشر
2026-03-10
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Sequelize الأقدم من 6.37.8
الوصف
يحتوي Sequelize، وهو أداة ORM لـ Node.js، على ثغرة حقن SQL بسبب المعالجة غير المُهربة لأنواع التحويل عند معالجة جملة WHERE باستخدام JSON/JSONB. تقوم الدالة
traverseJSON() بتقسيم مفاتيح مسار JSON باستخدام ’::‘ لتحديد نوع التحويل، والذي يتم بعد ذلك تضمينه مباشرةً في استعلامات SQL باستخدام CAST(... AS <type>). يمكن للمهاجم الذي يتحكم في مفاتيح كائن JSON حقن كود SQL تعسفي، مما قد يؤدي إلى تسريب البيانات من أي جدول. المكون المعرض للخطر هو الدالة traverseJSON().التوصيات
قم بالتحديث إلى الإصدار 6.37.8 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾