Causa Raiz

Essa vulnerabilidade existe devido a uma correção incompleta para o CVE-2024-53900. Embora a injeção direta de $where seja bloqueada, atacantes podem contornar essa proteção aninhando operadores $where dentro de operadores lógicos como $and, $or, etc.

O caminho de código vulnerável:

1. O usuário fornece entrada por meio do parâmetro match de populate()
2. A aplicação usa a entrada do usuário sem sanitização diretamente na consulta match
3. O Mongoose não sanitiza $where quando aninhado dentro de operadores lógicos
4. O atacante executa JavaScript arbitrário no servidor MongoDB

Impacto

• Divulgação de Informações: Acessar dados sensíveis sem autorização adequada
• Bypass de Autenticação: Recuperar informações restritas a administradores
• Execução de Código Arbitrário: Executar JavaScript no servidor MongoDB
• Modificação de Dados: Potencial para modificar registros do banco de dados

Configuração e Execução do PoC

Pré-requisitos

• Node.js >= 14
• MongoDB em execução localmente ou acessível por meio de string de conexão

Instalação

Executar o Servidor Vulnerável

O servidor iniciará em http://localhost:3000

Executar o Exploit

Em outro terminal:

Referências

• Commit no GitHub (Correção)
• Lançamento 8.9.5 do Mongoose
• NVD CVE-2025-23061
• Modelo Nuclei
• Laboratório CVE do Mongoose
• POC

Aviso Legal

Este PoC é fornecido apenas para fins educacionais. O acesso não autorizado a sistemas de computador é ilegal. Use-o somente em sistemas que você possua ou para os quais tenha permissão explícita de teste.