CVE-2025-23061
CVE-2025-23061
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Mongoose before 8.9.5 can improperly use a nested $where filter with a populate() match, leading to search injection. NOTE: this issue exists because of an incomplete fix for CVE-2024-53900.
CVSS 9.0 · Critique · EPSS 7,2% · Code d’exploitation public · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
mongoose
- Versions du logiciel
- ≥ 6.0.0, < 6.13.6: Concernée (semver)
- ≥ 7.0.0, < 7.8.4: Concernée (semver)
- ≥ 8.0.0, < 8.9.5: Concernée (semver)
Mettez à jour vers 6.13.6; Mettez à jour vers 7.8.4; Mettez à jour vers 8.9.5
mongoose npm
- Plages de versions concernées
- SEMVER: ≥ 8.0.0-rc0, < 8.9.5
Mettez à jour vers 8.9.5
mongoose npm
- Plages de versions concernées
- SEMVER: ≥ 7.0.0-rc0, < 7.8.4
Mettez à jour vers 7.8.4
mongoose npm
- Plages de versions concernées
- SEMVER: < 6.13.6
Mettez à jour vers 6.13.6
Sources originales
- https://www.npmjs.com/package/mongoose?activeTab=versions
- https://github.com/Automattic/mongoose/blob/master/CHANGELOG.md
- https://github.com/Automattic/mongoose/releases/tag/8.9.5
- https://github.com/Automattic/mongoose/commit/64a9f9706f2428c49e0cfb8e223065acc645f7bc
- https://nvd.nist.gov/vuln/detail/CVE-2025-23061