Esta vulnerabilidad existe debido a una corrección incompleta del CVE-2024-53900. Aunque la inyección directa con $where está bloqueada, los atacantes pueden evadir esta protección anidando operadores $where dentro de operadores lógicos como $and, $or, etc.

La ruta de código vulnerable:

1. El usuario proporciona entrada a través del parámetro match de populate()
2. La aplicación usa la entrada de usuario sin saneamiento directamente en la consulta match
3. Mongoose no sanea $where cuando está anidado dentro de operadores lógicos
4. El atacante ejecuta JavaScript arbitrario en el servidor MongoDB

Impacto

• Divulgación de información: Acceder a datos sensibles sin la autorización adecuada
• Evasión de autenticación: Recuperar información exclusiva de administradores
• Ejecución de código arbitrario: Ejecutar JavaScript en el servidor MongoDB
• Modificación de datos: Posibilidad de modificar registros de la base de datos

Configuración y ejecución del PoC

Requisitos previos

• Node.js >= 14
• MongoDB ejecutándose localmente o accesible mediante una cadena de conexión

Instalación

Ejecutar el servidor vulnerable

El servidor se iniciará en http://localhost:3000

Ejecutar el exploit

En otra terminal:

Referencias

• Commit de GitHub (Corrección)
• Lanzamiento de Mongoose 8.9.5
• NVD CVE-2025-23061
• Plantilla de Nuclei
• Laboratorio CVE de Mongoose
• POC

Aviso legal

Este PoC se proporciona únicamente con fines educativos. El acceso no autorizado a sistemas informáticos es ilegal. Úselo solo en sistemas que le pertenezcan o para los que tenga permiso explícito de prueba.