CVE-2026-30951highCWE-89

CVE-2026-30951: fallo de gravedad alta en sequelize

Sequelize v6 Vulnerable to SQL Injection via JSON Column Cast Type

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear sequelize+ Monitorear sequelize

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.5%
Sequelize is a Node.js ORM tool. Prior to 6.37.8, there is SQL injection via unescaped cast type in JSON/JSONB where clause processing. The _traverseJSON() function splits JSON path keys on :: to extract a cast type, which is interpolated raw into CAST(... AS <type>) SQL. An attacker who controls JSON object keys can inject arbitrary SQL and exfiltrate data from any table. This vulnerability is fixed in 6.37.8.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
sequelize · sequelize
CVEs relacionadas — sequelize

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-25813CRITICALSQL Injection via replacements in sequelizeEPSS 1.4%CVE-2026-69240CRITICALSequelize: SQL Injection (Oracle DB)EPSS 0.5%