Sequelize に SQL注入の脆弱性

Node.js — CVE-2026-69240

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

SequelizeでOracleを使っている場合、特定の文字列の扱いに問題があり、SQL文を勝手に混ぜ込まれるおそれがあります。攻撃者にデータベースを不正操作される可能性があります。

放置するとどうなるか

顧客情報や注文データの改ざん、流出につながるおそれがあります。最悪の場合、データベース全体が不正に操作されます。

今すぐやること

Sequelizeを6.37.4へ更新してください。Oracleを使う構成は特に急いで確認してください。アプリ側で文字列を直接受け取る部分も見直しましょう。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「6.37.4より前」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

Sequelize is a Node.js ORM tool. Prior to 6.37.4, SQL injection is possible with strings only if dialect is set to oracle. The escape function defined in sql-string.js does not escape quotes if the value starts with TO_TIMESTAMP or TO_DATE. In the Oracle dialect, when val is a string and starts with TO_TIMESTAMP or TO_DATE, escape returns val directly instead of replacing single quotes. An attacker can inject arbitrary SQL expressions through an application value that reaches this escape path. This issue is fixed in version 6.37.4.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。