Kritisch

Sequelize - Default support for “raw attributes” when using parentheses

Veröffentlicht: 24.02.2023
Aktualisiert: 11.10.2026 10:22

Impact

Sequelize 6.28.2 and prior has a dangerous feature where using parentheses in the attribute option would make Sequelize use the string as-is in the SQL

User.findAll({
  attributes: [
    ['count(id)', 'count']
  ]
});

Produced

sql

SELECT count(id) AS "count" FROM "users"

Patches

This feature was deprecated in Sequelize 5, and using it prints a deprecation warning.

This issue has been patched in @sequelize/core@7.0.0.alpha-20 and sequelize@6.29.0.

In Sequelize 7, it now produces the following:

sql

SELECT "count(id)" AS "count" FROM "users"

In Sequelize 6, it throws an error explaining that we had to introduce a breaking change, and requires the user to explicitly opt-in to either the Sequelize 7 behavior (always escape) or the Sequelize 5 behavior (inline attributes that include () without escaping). See https://github.com/sequelize/sequelize/pull/15710 for more information.

Mitigations

Do not use user-provided content to build your list or attributes. If you do, make sure that attribute in question actually exists on your model by checking that it exists in the rawAttributes property of your model first.

A discussion thread about this issue is open at https://github.com/sequelize/sequelize/discussions/15694 CVE: CVE-2023-22578

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	sequelize	< 6.29.0	6.29.0
npm-Paket	@sequelize/core	< 7.0.0-alpha.20	7.0.0-alpha.20

Verweise

CVSS-Wert 10/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Schwäche (CWE): CWE-790
Plattform: npm
Paket: sequelize, @sequelize/core
Veröffentlicht: 24.02.2023
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-f598-mfpv-gmfx - CC BY 4.0

Schwachstellenhistorie: @sequelize/core

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 3
Erste → letzte: 02.2023 02.2023
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 2
Mittel 1

Veröffentlichungen pro Jahr

2023: 3
2024: 0
2025: 0
2026: 0

24.02.2023

Sequelize - Default support for “raw attributes” when using parentheses dieser Eintrag

Kritisch · 10.0 CVE-2023-22578 < 7.0.0-alpha.20 7.0.0-alpha.20
23.02.2023

Unsafe fall-through in getWhereConditions

Kritisch · 9.9 CVE-2023-22579 < 7.0.0-alpha.20 7.0.0-alpha.20
16.02.2023

Sequelize information disclosure vulnerability

Mittel · 5.3 CVE-2023-22580 < 7.0.0-alpha.20 7.0.0-alpha.20

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden