目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-125117— Mongoose 原型链污染导致拒绝服务漏洞

一分钟漏洞结论

影响对象
Automattic mongoose
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Mongoose 是一个专为异步环境设计的 MongoDB 对象建模工具。在 6.13.12、7.8.13、8.24.7 和 9.11.4 版本之前，Mongoose 在通过 init() 加载数据库文档、在 $__set 中设置点分隔路径（dotted paths），以及在 utils.mergeClone 中合并更新文档时，可能会递归遍历继承属性。因此，由攻击者控制的关键字（如 toString 或 valueOf）可能导致 Mongoose 将数据写入共享的内置函数，而非对象自身的属性。 攻击者可构造包含特定

CVSS 8.2 · High

可能的 ATT&CK 技术 2 AI

T1055 · Process Injection T1069.006
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-125117 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Mongoose walks into inherited properties when hydrating, setting, and merging, allowing overwrites of built-in functions (denial of service) and shared schema state
来源: CVE Program / CVE List V5
Vulnerability Description
Mongoose is a MongoDB object modeling tool designed to work in an asynchronous environment. Prior to 6.13.12, 7.8.13, 8.24.7, and 9.11.4, Mongoose can descend into inherited properties while loading database documents in init(), setting dotted paths in $__set, and merging update documents in utils.mergeClone. Attacker-controlled keys such as toString or valueOf can therefore cause Mongoose to write into shared built-in functions instead of an own property. A crafted document, Mixed path, non-strict document or subdocument, findOneAndReplace() replacement, chained update, or Query.prototype.merge() source can overwrite Object.prototype.toString.call, causing later queries on unrelated models to fail until the process restarts. Separately, when an attacker controls the dotted path passed to doc.set(path, value) for a subdocument configured with strict: false, descent through $__set can reach $__schema and alter shared validators or schema options for later documents. Mongoose already blocks __proto__, constructor, and prototype, so this issue overwrites properties on reachable shared objects rather than adding new properties directly to Object.prototype. This issue is fixed in versions 6.13.12, 7.8.13, 8.24.7, and 9.11.4.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
CWE-1321
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
Automattic mongoose < 6.13.12 -

二、漏洞 CVE-2026-125117 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-125117 的情报信息

请登录查看更多情报信息。

CVE-2026-125117 补丁与修复 (4)

CVE-2026-125117 厂商安全公告 (1)

CVE-2026-125117 厂商页面 (4)

CVE-2026-125117 其他参考 (1)

同批安全公告 · Automattic · 2026-11-09 · 共 5 条

CVE-2026-125120 9.8 CRITICAL Mongoose 未对 countDocuments 应用 sanitizeFilter 漏洞
CVE-2026-125119 7.5 HIGH Mongoose 未应用连接级 sanitizeFilter 过滤漏洞
CVE-2026-125118 6.5 MEDIUM Mongoose 原型污染漏洞
CVE-2026-125116 4.8 MEDIUM Mongoose 远程代码执行漏洞

IV. Related Vulnerabilities

Same product: mongoose
Same vendor: Automattic
Same weakness: CWE-1321