专栏名称: 绿盟科技CERT

绿盟科技CERT针对高危漏洞与安全事件进行快速响应，提供可落地的解决方案，协助用户提升应对威胁的能力。

相关文章推荐

游资研报 · 元道通信：手握3万P，腾讯算力新标的，目标空 ... · 23 小时前

AIGC开放社区 · AI紧箍咒！OpenAI发布CoT监控，阻止 ... · 昨天

山西省人民政府 · 山西省自然资源审批在线平台新增查重智能分析服务功能 · 2 天前

内蒙古市场监管 · 3·15在行动！爸妈深陷直播间陷阱？三招教你 ... · 2 天前

包头新闻网 · 微信紧急公告 · 4 天前

51好读 › 专栏 › 绿盟科技CERT

【漏洞通告】MongoDB Mongoose搜索注入漏洞（CVE-2025-23061）

绿盟科技CERT · 公众号 · 互联网安全科技自媒体 · 2025-01-21 16:19

正文

通告编号:NS-2025-0005

2025-01-21

TA G：	MongoDB Mongoose、搜索注入、CVE-2025-23061
漏洞危害：	攻击者利用此漏洞，可实现代码注入。
版本：	1.0

漏洞概述

近日，绿盟科技CERT监测到GitHub发布安全公告，Mongoose中修复了一个搜索注入漏洞（CVE-2025-23061），此漏洞为CVE-2024-53900的修复不完全；由于Mongoose错误地将$where过滤器与populate()方法中的match条件一起处理，当同时使用了两者查询时未经身份验证的攻击者可操纵进行搜索注入，从而实现代码注入或未授权的数据库访问。CVSS评分9.0，请相关用户尽快采取措施进行防护。

Mongoose是一个用于在Node.js中操作MongoDB的对象建模库。它提供了一种更结构化的方式来与MongoDB交互，通过定义Schema（模式）来规范数据结构，并提供了如数据验证、查询构建、中间件等多种功能。

参考链接：

https://github.com/advisories/GHSA-vg7j-7cwx-8wgw

SEE MORE →

2 影响范围

受影响版本：

8.0.0-rc0 <= MongoDB Mongoose
7.0.0-rc0 <= MongoDB Mongoose
MongoDB Mongoose

不受影响版本：

MongoDB Mongoose >= 8.9.5
MongoDB Mongoose >= 7.8.4
MongoDB Mongoose >= 6.13.6 3

3 漏洞检测

3.1 版本检测

相关用户可通过下列命令判断当前使用的Mongoose版本是否存在安全风险：

npm list mongoose

4 漏洞防护

目前官方已发布新版本修复了该漏洞，请受影响的用户尽快升级版本进行防护，下载链接：

https://github.com/Automattic/mongoose/releases

相关用户可使用下列命令升级至对应安全版本：

npm install mongoose@latest

END

请到「今天看啥」查看全文

推荐文章

游资研报 · 元道通信：手握3万P，腾讯算力新标的，目标空间300%+！

23 小时前

游资研报 · 元道通信：手握3万P，腾讯算力新标的，目标空间300%+！

23 小时前

AIGC开放社区 · AI紧箍咒！OpenAI发布CoT监控，阻止大模型恶意行为

昨天

AIGC开放社区 · AI紧箍咒！OpenAI发布CoT监控，阻止大模型恶意行为

昨天

山西省人民政府 · 山西省自然资源审批在线平台新增查重智能分析服务功能

2 天前

山西省人民政府 · 山西省自然资源审批在线平台新增查重智能分析服务功能

2 天前

内蒙古市场监管 · 3·15在行动！爸妈深陷直播间陷阱？三招教你破解“坑老”骗局！

2 天前

内蒙古市场监管 · 3·15在行动！爸妈深陷直播间陷阱？三招教你破解“坑老”骗局！

2 天前

包头新闻网 · 微信紧急公告

4 天前

包头新闻网 · 微信紧急公告

4 天前

马伯庸 · 马小烦给大家拜年啦

8 年前

摄影笔记 · 到陌生城市旅行怎么拍？

7 年前

芯世相 · 老司机周一请假，原创长文本周后期更新

7 年前

大家车言论 · 这车配置可以一口气数完，它一定不是台好车！

7 年前

MEMS · 生物芯片技术走出“深闺”，全面应用于北京市民

7 年前