Veille sécuritéBackend & données
P3Critique
Dans Mongoose, sanitizeFilter n’était pas appliqué aux requêtes countDocuments(), laissant ces requêtes exposées à des injections de sélecteur malgré l’utilisation de cette protection. Mettez à jour vers 9.9.2, 8.24.3, 7.8.12 ou 6.13.11 selon la branche ; l’avis propose aussi un middleware comme contournement.
JavaScriptMongoDB
IdentifiantCVE-2026-125120
GravitéCritique
Exploitationnon connue / non déterminée
Correctif9.9.2, 8.24.3, 7.8.12 ou 6.13.11 selon la branche
Analyse technique
La protection sanitizeFilter ne s’appliquait pas aux filtres utilisés par countDocuments() dans les versions vulnérables.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-11-10T19:37:32Z et mis à jour à 19:37:33Z, dans la période demandée en +02:00.
ImpactDes filtres de countDocuments() peuvent être vulnérables à une injection de sélecteur lorsque l’application compte sur sanitizeFilter pour les assainir.
Versions affectéesMongoose < 6.13.11 ; >= 7.0.0 et < 7.8.12 ; >= 8.0.0 et < 8.24.3 ; >= 9.0.0 et < 9.9.2
Version corrigée9.9.2, 8.24.3, 7.8.12 ou 6.13.11 selon la branche
ContournementL’avis propose un middleware pre('countDocuments') qui applique mongoose.sanitizeFilter(this.getFilter()).
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,57% · percentile 47,3%
Publication2026-11-10T19:37:32Z
Mise à jour2026-11-10T19:37:33Z
Action recommandée
Mettre à jour vers la version corrigée correspondant à la branche Mongoose utilisée, ou appliquer le contournement middleware indiqué dans l’avis.
Sources
Priorisation DFS : P3 · 2 source(s).