CVE-2026-73562 in Mongoose
Riassunto
di VulDB • 13/08/2026
Mongoose è uno strumento di modellazione degli oggetti per MongoDB progettato per funzionare in un ambiente asincrono. Prima delle versioni 6.13.10, 7.8.10, 8.24.1 e 9.7.2, il passaggio di un aggiornamento controllato dall'utente come MyModel.updateOne(filter, req.body) può sfruttare la conversione degli aggiornamenti (update casting) di Mongoose utilizzando un percorso punteggiato __proto__.x sotto $set. Schema.prototype.path e Schema.prototype._getPathType possono trattare le proprietà ereditate da schema.paths e schema.nested come tipi di schema, consentendo al processo di conversione di impostare $fullPath e $parentSchemaDocArray su Object.prototype prima dell'errore (throw). Questa contaminazione del prototipo (prototype pollution) rende tali proprietà visibili sugli oggetti appena creati e può causare impatti sull'integrità e sulla disponibilità dell'applicazione. Il problema è risolto nelle versioni 6.13.10, 7.8.10, 8.24.1 e 9.7.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.