Deserialization of Untrusted Data in bson

緊急 9.8CVE-2020-7610 · GHSA-v8w9-2789-6hhr · SNYK-JS-BSON-561052 · 30/03/2020 公開 · 17/06/2026 更新

要点

CVE-2020-7610 は bson (mongodb), bson に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.0% より高い）。
対処：1.1.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
bson mongodb	`≥ 1.0.0, < 1.1.4`	`1.1.4`
bson npm	`< 1.1.4`	`1.1.4`

概要

All versions of bson before 1.1.4 are vulnerable to Deserialization of Untrusted Data. The package will ignore an unknown value for an object's _bsontype, leading to cases where an object is serialized as a document rather than the intended BSON type.

NVD の説明

All versions of bson before 1.1.4 are vulnerable to Deserialization of Untrusted Data. The package will ignore an unknown value for an object's _bsotype, leading to cases where an object is serialized as a document rather than the intended BSON type.