CVE-2026-73562

Mongoose, asenkron bir ortamda çalışmak üzere tasarlanmış bir MongoDB nesne modelleme aracıdır. 6.13.10, 7.8.10, 8.24.1 ve 9.7.2 sürümlerinden önce, MyModel.updateOne(filter, req.body) gibi kullanıcı kontrollü bir güncellemenin iletilmesi, $set altında __proto__.x noktalı yoluyla Mongoose güncelleme tür dönüşümünü (update casting) istismar edebilir. Schema.prototype.path ve Schema.prototype._getPathType, schema.paths ve schema.nested'ın miras alınan özelliklerini şema türleri olarak işleyebilir; bu da tür dönüşüm sürecinin hata fırlatmadan önce Object.prototype üzerinde $fullPath ve $parentSchemaDocArray özelliklerini ayarlamasına izin verir. Bu prototip kirlenmesi (prototype pollution), söz konusu özelliklerin yeni oluşturulan nesnelerde görünür olmasına neden olur ve uygulama bütünlüğü ile kullanılabilirliği üzerinde etkilere yol açabilir. Bu sorun 6.13.10, 7.8.10, 8.24.1 ve 9.7.2 sürümlerinde düzeltilmiştir.