9.0
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Mongoose before 8.9.5 can improperly use a nested $where filter with a populate() match, leading to search injection. NOTE: this issue exists because of an incomplete fix for CVE-2024-53900.
Засегнати продукти
- mongoosejs Mongoose: 6.0.0 преди 6.13.6; 7.0.0 преди 7.8.4; 8.0.0 преди 8.9.5
Вид слабост
История
- 15 януари 2025 Публикувано
Други уязвимости в mongoosejs Mongoose
- 10.0CVE-2023-3696
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2025-23061
- https://nvd.nist.gov/vuln/detail/CVE-2025-23061
- https://www.npmjs.com/package/mongoose?activeTab=versions
- https://github.com/Automattic/mongoose/blob/master/CHANGELOG.md
- https://github.com/Automattic/mongoose/releases/tag/8.9.5
- https://github.com/Automattic/mongoose/commit/64a9f9706f2428c49e0cfb8e223065acc645f7bc