CVE-2026-30951highCWE-89

CVE-2026-30951: falha de alta gravidade em sequelize

Sequelize v6 Vulnerable to SQL Injection via JSON Column Cast Type

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar sequelize+ Monitorar sequelize

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.5%
Sequelize is a Node.js ORM tool. Prior to 6.37.8, there is SQL injection via unescaped cast type in JSON/JSONB where clause processing. The _traverseJSON() function splits JSON path keys on :: to extract a cast type, which is interpolated raw into CAST(... AS <type>) SQL. An attacker who controls JSON object keys can inject arbitrary SQL and exfiltrate data from any table. This vulnerability is fixed in 6.37.8.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
sequelize · sequelize
CVEs relacionadas — sequelize

No mesmo produto, das mais perigosas para as menos.

CVE-2023-25813CRITICALSQL Injection via replacements in sequelizeEPSS 1.4%CVE-2026-69240CRITICALSequelize: SQL Injection (Oracle DB)EPSS 0.5%