There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Sequelize is a Node.js ORM tool. Prior to 6.37.4, SQL injection is possible with strings only if dialect
    is set to oracle. The escape function defined in sql-string.js does not escape quotes if the value starts
    with TO_TIMESTAMP or TO_DATE. In the Oracle dialect, when val is a string and starts with TO_TIMESTAMP or
    TO_DATE, escape returns val directly instead of replacing single quotes. An attacker can inject arbitrary
    SQL expressions through an application value that reaches this escape path. This issue is fixed in version
    6.37.4. (CVE-2026-69240)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Sequelize 是一個 Node.js ORM 工具。在 6.37.4 之前，只有在方言設定為 oracle 時，才可以使用字串進行 SQL 插入。如果值以 TO_TIMESTAMP 或 TO_DATE 開頭，則 sql-string.js 中定義的逸出函數不會逸出引號。在 Oracle 方言中，當 val 為字串且以 TO_TIMESTAMP 或 TO_DATE 開頭時，escape 會直接傳回 val，而不是替換其中的單引號。攻擊者可透過到達此逸出路徑的應用程式值插入任意 SQL 運算式。6.37.4 版已修正此問題。(CVE-2026-69240)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Sequelize 是一款 Node.js 的 ORM 工具。在之前的版本 6.37.4之前，仅当 dialect 设置为 oracle 时，字符串才可能注入 SQL 。如果值以 TO_TIMESTAMP 或 TO_DATE 开头，则 sql-string.js 中定义的转义函数不会转义引号。在 Oracle 方言中，当 val 是字符串且以 TO_TIMESTAMP 或 TO_DATE 开头时，转义会直接返回 val 而不是替换单引号。攻击者可通过到达此转义路径的应用程序值注入任意 SQL 表达式。此问题已在 6.37.4 版本中修复。(CVE-2026-69240)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Sequelize はNode.js の ORM ツールです。6.37.4 より前では、dialect が oracle に設定されている場合のみ、文字列を使用して SQL インジェクションが可能です。sql-string.js で定義されているエスケープ関数は、値が TO_TIMESTAMP または TO_DATE で始まる場合、引用符をエスケープしません。Oracle dialect では、val が文字列であり TO_TIMESTAMP または TO_DATE で始まる場合、escape はシングルクォートを置換せず、val をそのまま返します。攻撃者が、このエスケープパスに到達するアプリケーション値を通じて、任意の SQL 式を注入する可能性があります。この問題はバージョン 6.37.4 で修正されています。(CVE-2026-69240)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Sequelize is a Node.js ORM tool. Prior to 6.37.4, SQL injection is possible with strings only if dialect     is set to oracle. The escape function defined in sql-string.js does not escape quotes if the value starts     with TO_TIMESTAMP or TO_DATE. In the Oracle dialect, when val is a string and starts with TO_TIMESTAMP or     TO_DATE, escape returns val directly instead of replacing single quotes. An attacker can inject arbitrary     SQL expressions through an application value that reaches this escape path. This issue is fixed in version     6.37.4. (CVE-2026-69240)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445595	SCA: security update for sequelize (GHSA-v8fg-2rw7-q452)	Tenable Cloud Security	SCA Checks	2026/8/4	2026/8/4	critical
445595	SCA: security update for sequelize (GHSA-v8fg-2rw7-q452)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/4	2026/8/4	critical
333048	Linux Distros 未修補弱點：CVE-2026-69240	Nessus	Misc.	2026/8/6	2026/8/7	critical
333048	Linux Distros 未修补的漏洞：CVE-2026-69240	Nessus	Misc.	2026/8/6	2026/8/7	critical
333048	Linux Distros のパッチ未適用の脆弱性: CVE-2026-69240	Nessus	Misc.	2026/8/6	2026/8/7	critical
333048	Linux Distros Unpatched Vulnerability : CVE-2026-69240	Nessus	Misc.	2026/8/6	2026/8/7	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical