CVE-2025-11695
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Gdy w ciągu połączenia pojawia się tlsInsecure=False, walidacja certyfikatu jest wyłączona. Podatność dotyczy MongoDB Rust Driver w wersjach przed v3.2.5.
Ocena ryzyka
Wyłączenie walidacji certyfikatu umożliwia atakującemu typu man-in-the-middle przechwycenie lub modyfikację komunikacji z bazą danych MongoDB, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj MongoDB Rust Driver do wersji v3.2.5 lub nowszej. Upewnij się, że walidacja certyfikatów jest włączona i nie jest wyłączana przez konfigurację.
Inne podatności w MongoDB Rust Driver
Zobacz wszystkie- CVE-2026-88024Wysokie
W komponencie GridFS sterownika MongoDB dla języka Rust występuje nieprawidłowa neutralizacja znaków specjalnych w logice zapytań. Podany przez wywołującego identyfikator pliku może zostać zinterpretowany jako warunek zapytania zamiast jako wartość dosłowna. Uwierzytelniony użytkownik mogący wpłynąć na ten identyfikator może uzyskać dostęp do nieprzeznaczonych plików lub usunąć wszystkie fragmenty plików w danym bucketcie, czyniąc je nieczytelnymi.
- CVE-2026-81526Średnie
MongoDB Rust Driver nie neutralizuje specjalnych znaków w identyfikatorze celu dostarczonym przez wywołującego przed osadzeniem go w żądaniu wysyłanym do serwera. Osoba mogąca wpływać na ten identyfikator może spowodować wykonanie operacji zapisu na niezamierzonym celu w tym samym wdrożeniu.
Oryginalny opis (angielski, źródło NVD)
When tlsInsecure=False appears in a connection string, certificate validation is disabled. This vulnerability affects MongoDB Rust Driver versions prior to v3.2.5
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS