Veille sécuritéBackend & données
P4Moyenne
Mongoose ne vérifie pas certains noms de propriétés spéciales lors de la création de chemins virtuels, ce qui peut permettre une pollution de prototypes si un attaquant peut influencer les noms de champs d’un schéma dynamique. Cette pollution peut affecter les vérifications de propriétés héritées et d’autres composants JavaScript ; les branches concernées disposent de versions corrigées.
JavaScriptMongoDB
IdentifiantCVE-2026-125118
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.13.12, 7.8.13, 8.24.7 et 9.11.4
Source : NVD — CVE-2026-125118
Analyse technique
Schema.prototype.virtual() construit des chemins imbriqués sans appliquer la validation des propriétés spéciales utilisée par Schema.path() et Schema.add().
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09 à 23:17:22.243Z, soit le 2026-11-10 à 01:17:22.243+02:00, dans la période retenue.
ImpactPollution de prototypes susceptible d’affecter des vérifications de propriétés et des composants JavaScript serveur.
Versions affectéesMongoose antérieur à 6.13.12, 7.8.13, 8.24.7 ou 9.11.4 selon la branche
Version corrigée6.13.12, 7.8.13, 8.24.7 et 9.11.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,40% · percentile 34,6%
Publication2026-11-10T01:17:22.243+02:00
Mise à jour2026-11-10T01:17:22.243+02:00
Action recommandée
Mettre à jour vers la version corrigée correspondant à la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).