CVE-2023-25813: حقن SQL عبر replacements في sequelize | Kitploit

CVE-2023-25813

حرجةتم النشر

حقن SQL عبر replacements في sequelize

تم النشر: 22‏/02‏/2023
محدث: 10‏/03‏/2025
تخصيص CNA: GitHub_M
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

10.0/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

تقدير احتمالية EPSS

1.4‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 71.7‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

Sequelize هي أداة ORM لـ Node.js. في الإصدارات السابقة للإصدار 6.19.1 توجد ثغرة حقن SQL مرتبطة بـ `replacements`. المعاملات التي يتم تمريرها عبر `replacements` لا يتم ترميزها بشكل صحيح، مما قد يؤدي إلى حقن SQL تعسفي اعتمادًا على الاستعلامات المحددة المستخدمة. تم إصلاح المشكلة في Sequelize 6.19.1. يُنصح المستخدمون بالترقية. المستخدمون غير القادرين على الترقية يجب ألا يستخدموا خيار `replacements` وخيار `where` في نفس الاستعلام.

المصادر

Sequelize-1day-CVE-2023-25813PoC
إثبات مفهوم وتحليل فني لـ CVE-2023-25813، وهي ثغرة حقن SQL في Sequelize ORM قبل الإصدار 6.19.1، بما في ذلك تفاصيل الاستغلال ومعلومات التصحيح.
CVE-2023-25813-TESTPoC
تنفيذ ثغرة حقن SQL في Sequelize
CVE-2023-25813PoC
CVE-2023-25813 إعادة إنتاج الثغرة الأمنية - حقن SQL في Sequelize

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.