CVE-2025-23061
CVE-2025-23061
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Mongoose before 8.9.5 can improperly use a nested $where filter with a populate() match, leading to search injection. NOTE: this issue exists because of an incomplete fix for CVE-2024-53900.
CVSS 9.0 · Kritisch · EPSS 7,2% · Öffentlicher Exploit · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
mongoose
- Softwareversionen
- ≥ 6.0.0, < 6.13.6: Betroffen (semver)
- ≥ 7.0.0, < 7.8.4: Betroffen (semver)
- ≥ 8.0.0, < 8.9.5: Betroffen (semver)
Auf 6.13.6 aktualisieren; Auf 7.8.4 aktualisieren; Auf 8.9.5 aktualisieren
mongoose npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 8.0.0-rc0, < 8.9.5
Auf 8.9.5 aktualisieren
mongoose npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 7.0.0-rc0, < 7.8.4
Auf 7.8.4 aktualisieren
mongoose npm
- Betroffene Versionsbereiche
- SEMVER: < 6.13.6
Auf 6.13.6 aktualisieren
Originalquellen
- https://www.npmjs.com/package/mongoose?activeTab=versions
- https://github.com/Automattic/mongoose/blob/master/CHANGELOG.md
- https://github.com/Automattic/mongoose/releases/tag/8.9.5
- https://github.com/Automattic/mongoose/commit/64a9f9706f2428c49e0cfb8e223065acc645f7bc
- https://nvd.nist.gov/vuln/detail/CVE-2025-23061