CVE-2023-25813: SQL-инъекция через replacements в sequelize | Kitploit

CVE-2023-25813

КритическийОпубликовано

SQL-инъекция через replacements в sequelize

Опубликовано: 22 февр. 2023 г.
Обновлено: 10 мар. 2025 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

10,0/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Оценка вероятности EPSS

1,4 %

Низкий · следующие 30 дней

Процентиль: 71,7 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Sequelize — это ORM-инструмент для Node.js. В версиях до 6.19.1 существует эксплойт SQL-инъекции, связанный с replacements. Параметры, передаваемые через replacements, экранируются не должным образом, что может привести к произвольной SQL-инъекции в зависимости от конкретных используемых запросов. Проблема исправлена в Sequelize 6.19.1. Пользователям рекомендуется обновиться. Пользователям, которые не могут обновиться, не следует использовать опции `replacements` и `where` в одном запросе.

Источники

Sequelize-1day-CVE-2023-25813PoC
Proof-of-concept и технический анализ CVE-2023-25813, уязвимости SQL-инъекции в Sequelize ORM версиях до 6.19.1, включая детали эксплуатации и информацию о патче.
CVE-2023-25813-TESTPoC
Реализация уязвимости SQL Injection в Sequelize
CVE-2023-25813PoC

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.