CVE-2026-69240

Nome do Software Vulnerável e Versões Afetadas Sequelize versões anteriores a 6.37.4

Description A injeção de SQL é possível quando o dialeto está configurado como oracle. A função escape() em sql-string.js não escapa aspas simples se a string de entrada começar com TO TIMESTAMP ou TO DATE, retornando o valor diretamente. Isso permite que um invasor injete expressões SQL arbitrárias por meio de valores de aplicativo que alcancem este caminho de execução, podendo levar ao roubo e adulteração de dados.

Recommendations Atualizar para a versão 6.37.4.