L’option sanitizeFilter configurée au niveau d’une connexion Mongoose est signalée comme activée, mais n’est pas appliquée aux requêtes. Une application qui compte sur cette protection et accepte des filtres contrôlés par un utilisateur peut être exposée à une injection de sélecteur, notamment à un contournement de contrôle par mot de passe.
Source : GHSA-gg4r-jv3p-qx3c — Mongoose: Connection-level sanitizeFilter not applied
Analyse technique
L’option est déplacée vers Connection.config, mais le traitement des filtres ne vérifie pas cette configuration. L’avis indique que les réglages globaux et par requête ne sont pas affectés.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application s’appuie sur l’option sanitizeFilter configurée au niveau de la connexion et si elle transmet des objets contrôlés par un utilisateur dans des filtres Mongoose.
Action recommandée
Mettre à niveau Mongoose vers la version corrigée de la branche utilisée et vérifier la configuration de sanitizeFilter ainsi que la validation des filtres issus d’entrées utilisateur.
Sources
Priorisation DFS : P3 · 2 source(s).