Veille sécuritéBackend & données
P3Élevée
Lors de l’hydratation de documents, de l’affectation de chemins ou de la fusion de mises à jour, Mongoose peut parcourir des propriétés héritées et écrire dans des fonctions intégrées ou des objets internes partagés. Cela peut provoquer un déni de service affectant les requêtes du processus ou altérer l’état de schéma partagé; l’avis GitHub confirme ces impacts et les versions corrigées.
MongoDB
IdentifiantCVE-2026-125117
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.13.12, 7.8.13, 8.24.7 ou 9.11.4, selon la branche
Source : GitHub Advisory — GHSA-8332-j7wj-wjw4
Analyse technique
Les entrées malveillantes peuvent notamment provenir de documents chargés depuis la base, de chemins contrôlés transmis à `doc.set()` ou de documents de mise à jour fusionnés. L’avis précise que `lean()` n’est pas concerné par le chemin d’hydratation décrit.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-10 à 01:17:22.080+02:00, dans la période; elle a ensuite été substantiellement mise à jour le 2026-11-10 à 19:17:26.263+02:00. L’avis GitHub correspondant a été publié le 2026-11-10 à 22:56:16+02:00 et confirme les impacts ainsi que les correctifs.
ImpactDéni de service du processus et modification possible de l’état de schéma partagé, avec effets sur des opérations ultérieures.
Versions affectéesVersions antérieures à 6.13.12, 7.8.13, 8.24.7 et 9.11.4, selon la branche
Version corrigée6.13.12, 7.8.13, 8.24.7 ou 9.11.4, selon la branche
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
EPSS0,58% · percentile 48,3%
Publication2026-11-10T01:17:22.080+02:00
Mise à jour2026-11-10T22:56:18+02:00
Action recommandée
Mettre à niveau Mongoose vers la version corrigée de la branche utilisée.
Sources
Priorisation DFS : P3 · 2 source(s).