Tóm tắt nhanh
- CVE-2016-10554 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng sequelize (sequelizejs), sequelize.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.9%, cao hơn 79.5% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 1.7.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| sequelize | = 1.7.0≤ 1.6.0
| Chưa có bản vá |
| sequelize npm | < 1.7.0
| 1.7.0
|
Mô tả
Affected versions of sequelize use MySQL's backslash-based escape syntax when connecting to SQLite, despite the fact that SQLite uses PostgreSQL's escape syntax, which can result in a SQL Injection vulnerability.
Recommendation
Update to version 1.7.0-alpha3 or later.
Mô tả của NVD
sequelize is an Object-relational mapping, or a middleman to convert things from Postgres, MySQL, MariaDB, SQLite and Microsoft SQL Server into usable data for NodeJS. Before version 1.7.0-alpha3, sequelize defaulted SQLite to use MySQL backslash escaping, even though SQLite uses Postgres escaping.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí