Mongoose ne vérifie pas que certaines clés de discriminateur, dont `__t`, sont des propriétés propres avant de les utiliser dans ses registres, ce qui peut provoquer une confusion de types lors de la construction, de l’hydratation et du traitement de documents. Dans le chemin `bulkWrite()` avec `skipValidation`, une valeur `constructor` peut aussi permettre l’enregistrement d’un document sans validation ni filtrage strict, susceptible de faire échouer les requêtes qui l’hydratent.
Source : NVD — CVE-2026-125116
Analyse technique
L’exploitation suppose que l’attaquant puisse influencer les valeurs de clés de discriminateur utilisées par l’application. La vulnérabilité concerne la lecture de propriétés héritées et n’est pas une pollution de prototype.
Impact, versions et correctif
Action recommandée
Mettre à niveau Mongoose vers la version corrigée correspondant à la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).