Mongoose版本过低导致的安全漏洞

[null404i]

版本号

~
Mongoose 5.7.5

什么问题

~Mongoose版本为5.7.5，低于5.13.20的版本存在Mongoose原型污染链导致的远程代码执行漏洞（CVE-2023-3696）

如何复现此问题

~

什么浏览器

~
/

什么系统（Linux, Windows, macOS）

/

[jacoryjin]

看如下修改是否可用

1. package.json（line 72）

"mongoose": "5.13.21"

2. vendors\server\utils\db.js

let db = mongoose.connect(....

修改为

const db= mongoose.connection;
mongoose.connect(
    connectString,
    options,
    function(err) {
      if (err) {
        yapi.commons.log(err + ', mongodb Authentication failed', 'error');
      }
    }
  );