VULNERABILIDADDetectada 09 NOV · 20:27

CVE-2026-125116 Confusión de tipos en Mongoose por valores de clave discriminadora que coinciden con propiedades heredadas

Antes de 6.13.12, 7.8.13, 8.24.7 y 9.11.4, Mongoose usa valores de clave discriminadora controlados por el atacante, incluido el campo __t, para indexar registros de objetos planos como Model.discriminators y schema.discriminators sin exigir propiedad propia. Valores como constructor, toString o hasOwnProperty pueden resolver a funciones integradas heredadas en lugar de un discriminador registrado, causando confusión de tipos en la construcción de modelos, creación e hidratación de documentos, casting de…

4.8MEDIA

CVSS 3.1

Probabilidad de explotaciónSin dato
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

Automattic mongoose
< 6.13.12>= 7.0.0, < 7.8.13>= 8.0.0, < 8.24.7>= 9.0.0, < 9.11.4

Qué hacer

Verificá si usás mongoose y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.8 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L

Vector de ataqueRed
Complejidad del ataqueAlta
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadBaja
DisponibilidadBaja

Descripción original

Mongoose is a MongoDB object modeling tool designed to work in an asynchronous environment. Prior to 6.13.12, 7.8.13, 8.24.7, and 9.11.4, Mongoose uses attacker-controlled discriminator key values, including the default __t field, to index plain-object registries such as Model.discriminators and schema.discriminators without requiring an own property. Values such as constructor, toString, or hasOwnProperty can therefore resolve to inherited built-in functions instead of a registered discriminator, causing type confusion in model construction, document creation, hydration, query and update casting, embedded discriminators, and populate operations. In the bulkWrite() insertOne path with skipValidation enabled, a constructor value can cause a raw input object to be stored without schema casting or strict filtering, and a stored poisoned document can make every query that hydrates it fail until the document is removed. The weakness reads inherited properties but does not modify Object.prototype and is not prototype pollution. This issue is fixed in versions 6.13.12, 7.8.13, 8.24.7, and 9.11.4.

Referencias (11)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.