CVE-2026-113870
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
MongoDB Compass nieprawidłowo escapuje niektóre wartości BSON podczas konwersji potoku agregacji zapisanego widoku na edytowalny kod źródłowy. Gdy użytkownik połączy się z wdrożeniem zawierającym specjalnie spreparowany widok i otworzy go do edycji, wartości mogą spowodować wykonanie dowolnego kodu z uprawnieniami użytkownika uruchamiającego Compass.
Ocena ryzyka
Otwarcie złośliwego widoku w MongoDB Compass może doprowadzić do wykonania dowolnego kodu na stacji roboczej administratora lub dewelopera, co grozi przejęciem danych uwierzytelniających i dalszą eskalacją w środowisku.
Rekomendacja
Zaktualizuj MongoDB Compass do wersji zawierającej poprawkę i zachowaj ostrożność przy otwieraniu widoków z niezaufanych wdrożeń.
Inne podatności w MongoDB Compass
Zobacz wszystkie- CVE-2026-115929Średnie
MongoDB Compass korzysta z runtime Electron, który zawiera własny magazyn głównych certyfikatów TLS. W tym magazynie znajdują się odzyskiwalne certyfikaty pośredniego CA eMudhra. Problem został rozwiązany w wersji Compass 1.53.1, która zawiera Electron 44.9.1.
- CVE-2026-96750Wysokie
MongoDB Compass może interpolować nazwę bazy danych bez eskejpowania do początkowego wejścia wbudowanej powłoki MongoDB, gdy użytkownik otwiera powłokę z widoku tej bazy. Użytkownik z uprawnieniami do tworzenia baz danych na serwerze, do którego łączy się użytkownik Compass, może, w określonych warunkach, spowodować, że treść zostanie oceniona jako wejście powłoki w procesie Compass z jego uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
MongoDB Compass improperly escapes certain BSON values when converting a stored view’s aggregation pipeline into editable source. When a user connects to a MongoDB deployment containing a specially crafted view and opens that view for editing, the values can cause arbitrary code to execute with the privileges of the user running Compass.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS