p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in mongoose

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für mongoose: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 9

  1. CVE-2026-73562

    Mittel · CVSS 6.5EPSS 0,5%Korrektur verfügbar

    Mongoose: Prototype pollution in the update casting via __proto__-prefixed dotted path (Schema._getSchema/path getter)

    Mongoose is a MongoDB object modeling tool designed to work in an asynchronous environment. Prior to 6.13.10, 7.8.10, 8.24.1, and 9.7.2, passing a user-controlled update such as MyModel.updateOne(filter, req.body) can exploit Mongoose update casting with a __proto__.x dotted path under $set. Schema.prototype.path and Schema.prototype._getPathType can treat inherited properties of schema.paths and schema.nested as schema types, allowing the casting process to set $fullPath and $parentSchemaDocArray on Object.prototype before throwing. This prototype pollution makes those properties visible on newly created objects and can cause application int

    mongoose mongoose mongoose mongooseNode.js
    • Auf 6.13.10 aktualisieren
    • Auf 7.8.10 aktualisieren
    • Auf 8.24.1 aktualisieren
    • Auf 9.7.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2026-42334

    Hoch · CVSS 7.5EPSS 0,27%Korrektur verfügbar

    Mongoose: Improper Sanitization of $nor in sanitizeFilter May Allow NoSQL Injection

    Mongoose is a MongoDB object modeling tool designed to work in an asynchronous environment. Prior to 6.13.9, 7.8.9, 8.22.1, and 9.1.6, a vulnerability allows bypassing Mongoose’s sanitizeFilter query sanitization mechanism via the $nor operator. When sanitizeFilter is enabled, Mongoose wraps query operators in $eq to neutralize them. However, prior to the fix, $nor was not included in the set of logical operators that are recursively sanitized. Because $nor accepts an array (like $and and $or), and arrays do not trigger hasDollarKeys(), malicious operators such as $ne, $gt, or $regex could be injected inside a $nor clause without being saniti

    mongoose mongoose mongoose mongooseNode.js
    • Auf 6.13.9 aktualisieren
    • Auf 7.8.9 aktualisieren
    • Auf 8.22.1 aktualisieren
    • Auf 9.1.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

  3. CVE-2025-23061

    Kritisch · CVSS 9EPSS 7,24%Öffentlicher ExploitKorrektur verfügbar

    CVE-2025-23061

    Mongoose before 8.9.5 can improperly use a nested $where filter with a populate() match, leading to search injection. NOTE: this issue exists because of an incomplete fix for CVE-2024-53900.

    mongoose mongoose mongooseNode.js
    • Auf 6.13.6 aktualisieren
    • Auf 7.8.4 aktualisieren
    • Auf 8.9.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  6. CVE-2022-24304

    Kritisch · CVSS 9.8Korrektur verfügbar

    Mongoose Vulnerable to Prototype Pollution in Schema Object

    ### Description Mongoose is a MongoDB object modeling tool designed to work in an asynchronous environment. Affected versions of this package are vulnerable to Prototype Pollution. The `Schema.path()` function is vulnerable to prototype pollution when setting the `schema` object. This vulnerability allows modification of the Object prototype and could be manipulated into a Denial of Service (DoS) attack. ### Proof of Concept ```js // poc.js const mongoose = require('mongoose'); const schema = new mongoose.Schema(); malicious_payload = '__proto__.toString' schema.path(malicious_payload, [String]) x = {} console.log(x.toString()) // crashe

    mongoose mongooseNode.js
    • Auf 5.13.15 aktualisieren
    • Auf 6.4.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  8. GHSA-r5xw-q988-826m

    Mittel · CVSS 5.1Korrektur verfügbar

    Remote Memory Exposure in mongoose

    Versions of `mongoose` before 4.3.6, 3.8.39 are vulnerable to remote memory exposure. Trying to save a number to a field of type Buffer on the affected mongoose versions allocates a chunk of uninitialized memory and stores it in the database. ## Recommendation Update to version 4.3.6, 3.8.39 or later.

    mongoose mongooseNode.js
    • Auf 3.8.39 aktualisieren
    • Auf 4.3.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  9. CVE-2019-17426

    Kritisch · CVSS 9.1EPSS 1,5%Korrektur verfügbar

    CVE-2019-17426

    Automattic Mongoose through 5.7.4 allows attackers to bypass access control (in some applications) because any query object with a _bsontype attribute is ignored. For example, adding "_bsontype":"a" can sometimes interfere with a query filter. NOTE: this CVE is about Mongoose's failure to work around this _bsontype special case that exists in older versions of the bson parser (aka the mongodb/js-bson project).

    mongoose mongooseNode.js
    • Auf 4.13.21 aktualisieren
    • Auf 5.7.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →