Possible SQL Injection

[WithMathICan]

В файле db.js присутствует следующий код

async read(id, fields = ['*']) {
    const names = fields.join(', ');
    const sql = `SELECT ${names} FROM ${table}`;
    if (!id) return pool.query(sql);
    return pool.query(`${sql} WHERE id = $1`, [id]);
}

Здесь может быть уязвимость связанная с SQL инъекцией. Поскольку запрос в базу данных использует конкатенацию строк, которые ни как не валидируются. Конечно уязвимость зависит от того, как этим методом пользоваться. Но вдруг кто то вызовет его не так, как нам хочется.