изменил переменную products на массив
var products = [5,7,9];
Изменил запрос - заработало, но мне не нравится, т.к. подставлять данные прямо в запрос - большое зло. В pg-promise есть для этого защита, но честно говоря, с их документацией сложновато разобраться.
return db.query("UPDATE products SET deleted = true WHERE id IN(" + products + ");");