Mongooseの脆弱性CVE-2026-125120｜countDocumentsの入力保護と修正版

MongooseのsanitizeFilterは、外部から受け取った値がMongoDBの検索演算子として扱われるクエリセレクターインジェクションを防ぐ仕組みです。提供元によると、修正前のcountDocuments()ではこの保護が適用されません。件数を数える処理にも、想定していない検索条件が入り込むおそれがあります。[1]

提供元Automattic/mongooseの深刻度はCVSS 3.1で9.8（緊急）です。この点数だけで、あらゆる利用形態でデータの取得や書き換えが可能になると判断せず、外部入力が届く処理を確かめます。[1]

対象パッケージはnpmのmongooseです。アプリケーション内のcountDocuments()を探し、引数の検索条件にリクエスト本文やURLパラメーターなどの外部入力が入るかを追います。入力を文字列などに限定しているか、オブジェクトをそのまま渡しているかも確認します。[1]

別件のCVE-2026-125119では、接続時のオプションにsanitizeFilter: trueを設定してもクエリに反映されません。接続の設定値がtrueと表示されることだけでは、保護が働くと判断できません。この別件については、グローバルまたはクエリごとの設定を使う利用者は影響を受けないと提供元が説明しています。[3]

2026年11月13日に確認した米CISAの「悪用が確認された脆弱性の一覧（KEV）」に、CVE-2026-125120は載っていません。これは悪用がないことの証明ではありません。[4]

この件の提供元アドバイザリには、実際の攻撃事例や攻撃用PoCの掲載はありません。掲載されたコードは、ミドルウェアで保護を適用する回避策です。[1]

提供元とOSVの影響範囲、npmで配布済みの版を2026年11月13日に照合しました。推奨する版は、この件に加え、接続単位のsanitizeFilterの不備など同時期の修正を含む版です。適用前に使用系列のリリースノートも確かめます。[2]

[3][5][6][7]

5系以前は影響範囲の「6.13.11未満」に含まれますが、その系列向け修正版はアドバイザリに記載がありません。メジャー版を移る場合は互換性の確認が必要です。npmの実行環境要件は、上記の推奨版でそれぞれNode.js 12.0.0以上、14.20.1以上、16.20.1以上、20.19.0以上です。[5]

1. npm ls mongoose --allで、直接・間接の依存関係にある版を調べます。package-lock.jsonに記録されたmongooseの版も確認します。複数の版があれば、それぞれを調べます。

2. countDocuments()に渡す入力とsanitizeFilterの設定箇所を確認します。更新は設定の代わりにはならないため、保護を使う設計なら有効になっていることも確かめます。

3. 直接依存の8系ならnpm install mongoose@8.24.7のように使用系列の推奨版へ更新します。間接依存ならnpm explain mongooseで依存元を調べ、そのパッケージの更新を検討します。

4. 通常の件数取得と、不正な型の入力を受け付けないことをアプリケーションのテストで確かめます。依存関係を含めて再ビルド・再配置し、配備する成果物でもnpm ls mongoose --allとlockファイルの版を確認します。

提供元は、countDocumentsのpreミドルウェアでmongoose.sanitizeFilter(this.getFilter())を呼び出し、検索条件を明示的に処理する方法を掲載しています。スキーマやプラグインへの組み込みと動作確認が必要です。[1]

更新までの間も、件数取得のAPIが受け入れる項目と型を確認し、不要なオブジェクトを検索条件へ渡す経路を減らします。通常の検索が動くことだけでなく、件数取得の経路を個別にテストしてください。

この脆弱性はcountDocuments()への適用漏れです。画面の一覧検索を点検していても、ページ数や総件数を取得する処理が別のクエリなら、その経路にも確認が必要です。接続設定の不備は別件なので、countDocuments()の修正版だけに留めず、上の推奨版と設定箇所を併せて確認します。[1]

[3]