PT-2020-7933 · Sequelize · Sequelize

Publicado 2020-09-01 · Atualizado 2020-09-01 · CVE-2016-1000225

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

versões do sequelize anteriores à 3.23.6

Descrição:

O problema afeta modelos com campos do tipo de dados GEOMETRY, levando a injeção de SQL. Isso ocorre porque as aspas simples nos valores dos documentos não são escapadas corretamente para documentos GeoJSON que utilizam ST GeomFromGeoJSON e para documentos GeoJSON do MySQL que utilizam GeomFromText.

Recomendações:

Atualize para a versão 3.23.6 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2016-1000225

GHSA-5V9H-Q3GJ-C32X

Produtos afetados

Sequelize

Referências · 11

• https://github.com/sequelize/sequelize · Nota
• https://github.com/sequelize/sequelize/commit/f93af43a1d86400487f5e3d9762f1a4b7cf6b1e1 · Nota
• https://github.com/sequelize/sequelize/commit/18ac91040d9c57351d26ba998f460e214255b704 · Nota
• https://github.com/sequelize/sequelize/issues/6194 · Nota
• https://github.com/sequelize/sequelize/commit/14e3deaf3ad27f12900e5275db1d448844c9de3e · Nota
• https://github.com/sequelize/sequelize/pull/6302 · Nota
• https://github.com/sequelize/sequelize/commit/562d52585902090f4e53eb21c61314098c29d795 · Nota
• https://github.com/sequelize/sequelize/pull/6306 · Nota
• https://snyk.io/vuln/npm:sequelize:20160718 · Nota
• https://osv.dev/vulnerability/GHSA-5v9h-q3gj-c32x · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2016-1000225 · Nota de Segurança