CVE-2026-125119

Nome do Software Vulnerável e Versões Afetadas Mongoose versões 6.0.0 até 6.13.11 Mongoose versões 7.x até 7.8.12 Mongoose versões 8.x até 8.24.6 Mongoose versões 9.x até 9.11.3

Description O Mongoose não aplica corretamente a opção sanitizeFilter no nível da conexão quando configurada via mongoose.connect() ou createConnection(). Embora a conexão reporte que a defesa está ativada, a função Query.prototype. castConditions() e os mecanismos de casting de consulta não leem essa configuração específica. Isso permite que um invasor passe um objeto manipulado contendo operadores de consulta em um filtro de consulta, potencialmente ignorando a autenticação ao corresponder a registros de conta sem a senha literal. A configuração global via mongoose.set('sanitizeFilter') e o Model.find().sanitizeFilter() por consulta não são afetados.

Recommendations Atualize para a versão 6.13.12. Atualize para a versão 7.8.13. Atualize para a versão 8.24.7. Atualize para a versão 9.11.4.