PT-2026-24421 · Unknown · Feathersjs

Sofianeelhor · Publicado 2026-03-10 · Atualizado 2026-03-11 · CVE-2026-29793

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Feathersjs de 5.0.0 a 5.0.41

Descrição O Feathersjs é um framework utilizado para construir web APIs e aplicações em tempo real. Clientes Socket.IO podem enviar objetos JavaScript arbitrários como o argumento id para qualquer método de serviço (get, patch, update, remove). A camada de transporte não valida o tipo deste argumento. Ao usar o adaptador MongoDB, esses objetos são passados para a função getObjectId() e usados diretamente em consultas MongoDB como operadores. Enviar {$ne: null} como o id pode corresponder a todos os documentos dentro de uma coleção.

Recomendações Atualize para a versão 5.0.42 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-943

Identificadores relacionados

CVE-2026-29793

GHSA-P9XR-7P9P-GPQX

Produtos afetados

Feathersjs

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/29xxx/CVE-2026-29793.json · Exploit
• https://github.com/feathersjs/feathers · Nota
• https://github.com/feathersjs/feathers/security/advisories/GHSA-p9xr-7p9p-gpqx · Aviso do Fabricante
• https://twitter.com/0dayPublishing/status/2031466142498243030 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-29793 · Aviso do Fabricante
• https://twitter.com/vulert_official/status/2031723984702877749 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-29793 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-p9xr-7p9p-gpqx · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2031504130498294032 · Publicação no Twitter