CVE-2016-10550
Publiée le 2018-05-31 · Dernière modification le 2026-06-17
Les applications Node.js utilisant sequelize version 3.16.0 ou antérieure sont vulnérables aux injections SQL via les paramètres `limit` et `order`. Un attaquant peut envoyer des requêtes spécialement conçues via le réseau pour exécuter des commandes SQL arbitraires, ce qui pourrait lui permettre de voler, modifier ou supprimer l'intégralité de votre base de données. Cette faille est facile à exploiter car elle ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
sequelize is an Object-relational mapping, or a middleman to convert things from Postgres, MySQL, MariaDB, SQLite and Microsoft SQL Server into usable data for NodeJS If user input goes into the `limit` or `order` parameters, a malicious user can put in their own SQL statements. This affects sequelize 3.16.0 and earlier.