「sequelize」の脆弱性 CVE-2026-69240: SQLインジェクション

どんな危険があるか

Node.js ORMツールであるSequelizeのOracle DB方言におけるSQLインジェクションの脆弱性です。バージョン6.37.4より前のSequelizeで、dialectがoracleに設定されている場合、escape関数がTO_TIMESTAMPまたはTO_DATEで始まる文字列の引用符をエスケープしません。攻撃者はこの脆弱性を悪用し、特定の形式の文字列を通じて任意のSQL式を注入することが可能です。

今すぐやること

影響を受けるSequelizeのバージョンは6.37.4より前です。この脆弱性はバージョン6.37.4で修正されています。Sequelizeを使用している開発者は、速やかにライブラリをバージョン6.37.4以降にアップグレードしてください。修正の詳細は、GitHubのセキュリティアドバイザリやリリースノートを確認してください。