Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Node.js向けDB操作ライブラリ「Mongoose」に脆弱性

「MongoDB」などのデータベース操作が行えるJavaScriptライブラリ「Mongoose」に脆弱性が明らかになった。アップデートで修正されている。

一部演算子における制御に問題があり、コードインジェクションが可能となる脆弱性「CVE-2025-23061」が確認された。先に修正された「CVE-2024-53900」の修正が不十分だったことに起因するという。

脆弱性を悪用することで任意のJavaScriptを実行することが可能。データベースが不正に操作されたり、システムを侵害されるおそれがある。

CVE番号を採番したMITREでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.0」、重要度は4段階中もっとも高い「クリティカル(Critical)」とレーティングしている。

開発チームでは、現地時間1月13日に脆弱性を修正した「同8.9.5」「同7.8.4」「同6.13.6」をリリース。アップデートを呼びかけている。

(Security NEXT - 2025/01/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

「iOS」「iPadOS」にアップデート - ゼロデイ脆弱性を解消
「Zimbra」に複数の深刻な脆弱性 - 最新版へアップデートを
行政機関向け資産管理システム「Cityworks」に脆弱性 - すでに悪用も
特権アクセス管理製品「Symantec PAM」に深刻な脆弱性
「MS Edge」がリリース - 独自含む脆弱性10件を解消
先週注目された記事(2025年2月2日〜2025年2月8日)
「Defense Platform HE」に複数脆弱性 - 最新版へ更新を
Cisco、セキュリティアドバイザリ8件を公表 - 脆弱性18件に対応
「IBM Security Verify Directory Server Container」に複数の脆弱性
米当局、1月は14件の脆弱性悪用について注意喚起