一、 漏洞 CVE-2025-23061 基础信息
漏洞信息
# N/A
## 漏洞概述
Mongoose在8.9.5之前的版本中，不恰当地使用嵌套的$where过滤器与populate()匹配，导致搜索注入。
## 影响版本
- Mongoose < 8.9.5
## 漏洞细节
由于对CVE-2024-53900的修复不完整，导致Mongoose在使用嵌套的$where过滤器与populate()匹配时，可能出现搜索注入的问题。
## 漏洞影响
此漏洞可导致搜索注入，可能使攻击者通过精心构造的查询来访问或操作不应被其访问的数据。
神龙判断
是否为 Web 类漏洞： 是
判断理由：
是。这个漏洞存在于Mongoose（一个Node.js的MongoDB对象模型库）的特定版本中，在处理嵌套的`$where`过滤器与`populate()`匹配时存在缺陷，可能导致搜索注入。这种问题通常是服务器端处理用户输入不当导致的，攻击者可能利用该漏洞执行非授权的查询操作。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Mongoose before 8.9.5 can improperly use a nested $where filter with a populate() match, leading to search injection. NOTE: this issue exists because of an incomplete fix for CVE-2024-53900.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
Mongoose 代码注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Mongoose是Automattic开源的一个 MongoDB 对象建模，旨在在异步环境中工作。 Mongoose 8.9.5之前版本存在代码注入漏洞，该漏洞源于错误地使用嵌套的过滤器和populate()匹配，从而导致搜索注入。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-23061 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | NoSQL injection vulnerability in Mongoose < 8.9.5 affecting the populate() function's match option. This vulnerability exists due to an incomplete fix for CVE-2024-53900. While direct $where injection is blocked, attackers can bypass this protection by nesting $where operators within logical operators like $and, allowing execution of arbitrary JavaScript code on MongoDB server, bypassing authentication, and accessing sensitive administrative data. | https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-23061.yaml | POC详情 |
| 2 | CVE-2025-23061 - Mongoose Command Injection | https://github.com/dajneem23/CVE-2025-23061 | POC详情 |
三、漏洞 CVE-2025-23061 的情报信息
标题： mongoose - npm -- 🔗来源链接
标签：
标题： Release 8.9.5 · Automattic/mongoose · GitHub -- 🔗来源链接
标签：
- https://github.com/Automattic/mongoose/blob/master/CHANGELOG.md
标题： fix: disallow nested $where in populate match · Automattic/mongoose@64a9f97 · GitHub -- 🔗来源链接
标签：
- https://nvd.nist.gov/vuln/detail/CVE-2025-23061
四、漏洞 CVE-2025-23061 的评论
暂无评论