Защитная инструкция по Mongoose и ghsa-664h-wqgq-64gw: установить применимость, проверить фильтрацию prototype-prefixed update paths на одноразовом стенде, измерить безопасный исход и подготовить обратимый выпуск без production-данных.
Карта применимости для Mongoose
Advisory описывает отдельную проблему: user-controlled dotted update может изменить свойства базового prototype ещё до ошибки cast. Проверяемая граница проходит между update payload, Schema path lookup и Object prototype. Диапазоны Reviewed record: npm:mongoose < 6.13.10 → 6.13.10; npm:mongoose >= 7.0.0, < 7.8.10 → 7.8.10; npm:mongoose >= 8.0.0, < 8.24.1 → 8.24.1; npm:mongoose >= 9.0.0, < 9.7.2 → 9.7.2. Наличие package без достижимой функции оформляют как not-applicable с доказательством. Снимите версии mongoose/Node, schema shape, update operator, key category, prototype own-properties до/после, cast result и DB calls. Для каждого элемента укажите observed, expected, unknown или not-applicable, время и происхождение. Severity medium не подтверждает атаку, ущерб либо состояние конкретного deployment. Если происхождение бинарника неизвестно, не делайте вывод по одному package manager.
Матрица решений на защитной границе
Разложите сценарий на вход, policy/parser, защищаемый объект и наблюдаемый исход. Для Mongoose это «между update payload, Schema path lookup и Object prototype». Ветвь close допустима, когда runtime вне указанных диапазонов или функция недостижима и это подтверждено. Ветвь update выбирают при совпавшей версии и доступном фиксированном артефакте. Ветвь contain оставляет узкое ограничение доступа до окна обновления. Ветвь escalate нужна при unknown provenance. Решение update/contain/close имеет владельца и дату повторной проверки. Не объединяйте этот механизм с соседними advisory только из-за общего слова security.
Обратимый тест без эксплуатационного payload
Безопасный опыт: без подключения к базе вызвать casting для обычного path и синтетического reserved prototype path на пустой schema, сохраняя снимок descriptor map. Стенд не получает production secrets, данные или сетевые маршруты. Измеримый безопасный исход: reserved path отклоняется до записи prototype, descriptor map неизменна, normal update casts. Не увеличивайте объём, глубину, число соединений или права после первого отклонения. Сохраняйте только decision code, counters, timings и hashes; реальные имена, адреса, credentials и пользовательские данные исключите. Красная линия: меняется global prototype, нужен production request body или выполняется database write. При её достижении завершите стенд и оставьте результат blocked/unknown вместо попытки воспроизвести атаку.
Окно обновления и контроль регрессии
Зафиксируйте исходный dependency tree и артефакт, установите подтверждённую исправленную ветку из диапазона «npm:mongoose < 6.13.10 → 6.13.10; npm:mongoose >= 7.0.0, < 7.8.10 → 7.8.10; npm:mongoose >= 8.0.0, < 8.24.1 → 8.24.1; npm:mongoose >= 9.0.0, < 9.7.2 → 9.7.2» в staging и повторите тот же baseline/boundary/baseline набор. Не меняйте одновременно reverse proxy, role model, parser settings или OS: иначе нельзя связать результат с обновлением. Сравните latency, memory, accepted/rejected decisions и обычный функциональный сценарий. Временный containment снимают только после безопасного результата и готового возврата. Возврат для этой карточки: завершить отдельный process, удалить schema fixture, проверить чистый новый Node process.
Критерий закрытия и минимальный пакет
Карточка закрывается, когда версия и provenance подтверждены, граничный вход даёт ожидаемый отказ или безопасную обработку, обычный контроль проходит, cleanup завершён, а журнал не содержит новых warning/error. Минимальный пакет для поддержки: versions, key categories, descriptor hashes, cast results, DB-call count и clean-process proof. В нём не должно быть IP, tokens, passwords, cookies, private keys, полного config, реальных файлов или payload. Отдельной строкой укажите: GitHub Reviewed Advisory подтверждает механизм и диапазон, но не эксплуатацию в этой среде, популярность запроса, индексацию или позиции.
Материал подготовлен редакцией VOne с помощью ИИ, затем вручную проверен по двум прямым HTTPS-источникам; факты, диапазоны версий, безопасный опыт и отсутствие рекламных обещаний сверены человеком.
Источники и проверка
- GitHub Reviewed Advisory ghsa-664h-wqgq-64gw проверено 2026-08-30
- Upstream-страница Mongoose проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.