Node.js向けDB操作ライブラリ「Mongoose」に脆弱性

「MongoDB」などのデータベース操作が行えるJavaScriptライブラリ「Mongoose」に脆弱性が明らかになった。アップデートで修正されている。

一部演算子における制御に問題があり、コードインジェクションが可能となる脆弱性「CVE-2025-23061」が確認された。先に修正された「CVE-2024-53900」の修正が不十分だったことに起因するという。

脆弱性を悪用することで任意のJavaScriptを実行することが可能。データベースが不正に操作されたり、システムを侵害されるおそれがある。

CVE番号を採番したMITREでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

開発チームでは、現地時間1月13日に脆弱性を修正した「同8.9.5」「同7.8.4」「同6.13.6」をリリース。アップデートを呼びかけている。

（Security NEXT - 2025/01/22 ）ツイート