CVE-2026-125116

Nome do Software Vulnerável e Versões Afetadas Mongoose versões anteriores a 6.13.12 Mongoose versões anteriores a 7.8.13 Mongoose versões anteriores a 8.24.7 Mongoose versões anteriores a 9.11.4

Description O Mongoose utiliza valores de chave de discriminador controlados por atacantes, incluindo o campo padrão t, para indexar registros de objetos simples, como Model.discriminators e schema.discriminators, sem exigir que a propriedade seja própria do objeto. Consequentemente, valores como constructor, toString ou hasOwnProperty podem resolver para funções integradas herdadas em vez de um discriminador registrado, causando confusão de tipo na construção de modelos, criação de documentos, hidratação, conversão de consultas e atualizações, discriminadores incorporados e operações de preenchimento. Além disso, no caminho insertOne do bulkWrite() com skipValidation habilitado, um valor constructor pode fazer com que um objeto de entrada bruto seja armazenado sem a conversão de esquema ou filtragem rigorosa, e um documento envenenado armazenado pode fazer com que todas as consultas que o hidratem falhem até que o documento seja removido.

Recommendations Atualize para a versão 6.13.12 ou posterior. Atualize para a versão 7.8.13 ou posterior. Atualize para a versão 8.24.7 ou posterior. Atualize para a versão 9.11.4 ou posterior.