PT-2026-141174
CVE-2026-125119
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Mongoose الإصدارات من 6.0.0 إلى 6.13.11
Mongoose الإصدارات من 7.x إلى 7.8.12
Mongoose الإصدارات من 8.x إلى 8.24.6
Mongoose الإصدارات من 9.x إلى 9.11.3
Description
يفشل Mongoose في تطبيق خيار
sanitizeFilter على مستوى الاتصال بشكل صحيح عند تكوينه عبر mongoose.connect() أو createConnection(). وبينما يشير الاتصال إلى أن الدفاع مفعل، فإن الدالة Query.prototype. castConditions() وآليات تحويل الاستعلام لا تقرأ هذا التكوين المحدد. يسمح هذا للمهاجم بتمرير كائن مصمم يحتوي على عوامل تشغيل استعلام في مرشح الاستعلام، مما قد يؤدي إلى تجاوز المصادقة عن طريق مطابقة سجلات الحساب بدون كلمة المرور الفعلية. لا يتأثر التكوين العام عبر mongoose.set('sanitizeFilter') و Model.find().sanitizeFilter() لكل استعلام.Recommendations
التحديث إلى الإصدار 6.13.12.
التحديث إلى الإصدار 7.8.13.
التحديث إلى الإصدار 8.24.7.
التحديث إلى الإصدار 9.11.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾