CVE-2016-10554
Publiée le 2018-05-31 · Dernière modification le 2026-06-17
Les applications Node.js utilisant l'ORM Sequelize avec une base de données SQLite sont vulnérables aux injections SQL en raison d'un échappement incorrect des caractères. Un attaquant distant non authentifié peut envoyer des requêtes réseau spécialement conçues pour contourner les filtres de sécurité, lui permettant ainsi de lire, modifier ou supprimer n'importe quelle donnée de la base de données. Cette attaque est facile à exécuter car elle ne nécessite aucun accès préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
sequelize is an Object-relational mapping, or a middleman to convert things from Postgres, MySQL, MariaDB, SQLite and Microsoft SQL Server into usable data for NodeJS. Before version 1.7.0-alpha3, sequelize defaulted SQLite to use MySQL backslash escaping, even though SQLite uses Postgres escaping.