CVE-2026-125117

Mongoose przechowuje opcję sanitizeFilter na poziomie połączenia w Connection.config, ale Query.prototype._castConditions() i rzutowanie zapytań sprawdzają inne lokalizacje opcji i nie odczytują tej konfiguracji. Aplikacja, która włącza sanitizeFilter przez mongoose.connect() lub createConnection() i przekazuje obiekt kontrolowany przez atakującego do filtra zapytania, otrzymuje połączenie raportujące włączoną ochronę, podczas gdy obiekty selektorów pozostają niesanityzowane. Wykorzystanie operatora zapytania w haśle może dopasować konto bez znajomości literalnego hasła.

Mongoose przed wersjami 6.13.12, 7.8.13, 8.24.7 i 9.11.4 pozwala na budowanie zagnieżdżonych ścieżek wirtualnych przez Schema.prototype.virtual() bez walidacji właściwości specjalnych stosowanej w Schema.path() i Schema.add(). Atakujący mogący wpływać na nazwy pól wirtualnych może dostarczyć segmenty takie jak __proto__, constructor lub prototype, powodując zanieczyszczenie prototypu Object.prototype lub Function.prototype. Może to fałszować dziedziczone sprawdzenia właściwości, np. flagi autoryzacji.

Mongoose przed wersjami 6.13.12, 7.8.13, 8.24.7 i 9.11.4 używa wartości klucza dyskryminatora kontrolowanych przez atakującego (w tym domyślnego pola __t) do indeksowania rejestrów obiektów, takich jak Model.discriminators i schema.discriminators, bez wymagania własnej właściwości. Wartości takie jak constructor, toString lub hasOwnProperty mogą wskazywać na dziedziczone funkcje wbudowane, powodując pomieszanie typów w konstrukcji modeli, tworzeniu dokumentów, hydracji, rzutowaniu zapytań i aktualizacji oraz operacjach populate. W ścieżce bulkWrite() insertOne z skipValidation wartość constructor może spowodować zapis surowego obiektu bez rzutowania schematu, a zatruty dokument może powodować błędy wszystkich zapytań do momentu jego usunięcia.

W bibliotece Mongoose funkcja countDocuments() nie stosuje skonfigurowanej ochrony sanitizeFilter przed wstrzykiwaniem selektorów zapytań. Aplikacja, która włącza sanitizeFilter i przekazuje do countDocuments() wartości filtrów kontrolowane przez atakującego, może przetwarzać obiekty operatorów zapytań jako operatory zamiast wartości literalnych. Może to zaniżać lub zawyżać liczbę wyników i podważać logikę autoryzacji opartą na tej liczbie.

Podatność w Mongoose przed wersją 7.22 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wysłanie żądania HTTP zawierającego zarówno Content-Length, jak i Transfer-Encoding: chunked. Kontrolery cl_count i te_count akceptują oba nagłówki i priorytetyzują kodowanie chunked, co prowadzi do desynchronizacji CL.TE i umożliwia wstrzyknięcie żądań w kontekście innego użytkownika.

Podatność w Mongoose przed wersją 7.22 umożliwia zdalnemu nieuwierzytelnionemu atakującemu wykorzystanie wdrożenia z odwrotnym proxy HTTP/1.0 poprzez wysłanie żądania z Transfer-Encoding: chunked i sprzecznym framingiem. Funkcja http_cb() testuje hm.proto.len z niemożliwym warunkiem większym niż osiem, co powoduje, że is_http_1_0 nigdy nie jest ustawiane, a Mongoose przetwarza chunked encoding, które proxy HTTP/1.0 może zignorować.

Podatność w Mongoose przed wersją 7.22 pozwala atakującemu sieciowemu z certyfikatem wildcard dla domeny nadrzędnej na podszywanie się pod głębsze subdomeny wobec klienta używającego wbudowanego stosu TLS. Funkcje mg_tls_verify_cert_san() i mg_tls_verify_cert_cn() wywołują mg_match(), którego wildcard może przekraczać granice etykiet DNS, więc wzorzec taki jak *.example.com może pasować do foo.bar.example.com.

Podatność w Mongoose przed wersją 7.23 pozwala atakującemu sieciowemu na podszywanie się pod serwer TLS wobec klienta Mongoose skonfigurowanego z pakietem wielu certyfikatów CA. Funkcja mg_tls_init() przechowuje pakiet w tls->ca_bundle_der, podczas gdy tls->ca_der.len pozostaje zerowe, a mg_tls_recv_cert() używa tls_bundle_find() do akceptacji dopasowania Common Name bez weryfikacji podpisu certyfikatu.

W Mongoose przed wersją 7.22 funkcja mg_path_is_sane w src/util.c odczytywała path.buf[1] bez uprzedniego sprawdzenia, czy path.len wynosi co najmniej dwa, oraz odczytywała s[2], gdy pozostały tylko dwa bajty. Nieuwierzytelnione zdalne żądania do mg_http_upload lub mg_http_serve_dir z krótkimi ścieżkami mogły wywołać jednobajtowe odczyty poza granicami sterty.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 nie odrzuca opcji TCP, której zadeklarowana długość opts[1] przekracza pozostałe bajty opcji. W handle_opt() sekwencja NOP, po której następuje obcięta opcja MSS, powoduje odczyt opts[3] poza zadeklarowanym obszarem opcji i użycie go jako dolnego bajtu dmss. Nieuwierzytelniony zdalny peer może uszkodzić wartość MSS dla połączenia, przez co późniejsze wywołania mg_send() wysyłają obcięte lub zerowej długości ładunki aplikacji, podczas gdy połączenie TCP wygląda na sprawne.