CVE-2026-115929
ŚrednieCVSS 6.8Streszczenie
MongoDB Compass korzysta z runtime Electron, który zawiera własny magazyn głównych certyfikatów TLS. W tym magazynie znajdują się odzyskiwalne certyfikaty pośredniego CA eMudhra. Problem został rozwiązany w wersji Compass 1.53.1, która zawiera Electron 44.9.1.
Ocena ryzyka
Obecność odzyskiwalnych certyfikatów pośredniego CA w zaufanym magazynie może umożliwić atakującemu podszycie się pod zaufane usługi TLS, co stwarza ryzyko przechwycenia ruchu lub fałszowania połączeń.
Rekomendacja
Zaktualizuj MongoDB Compass do wersji 1.53.1 lub nowszej, która zawiera Electron 44.9.1 z usuniętymi problematycznymi certyfikatami.
Inne podatności w MongoDB Compass
Zobacz wszystkie- CVE-2026-113870Wysokie
MongoDB Compass nieprawidłowo escapuje niektóre wartości BSON podczas konwersji potoku agregacji zapisanego widoku na edytowalny kod źródłowy. Gdy użytkownik połączy się z wdrożeniem zawierającym specjalnie spreparowany widok i otworzy go do edycji, wartości mogą spowodować wykonanie dowolnego kodu z uprawnieniami użytkownika uruchamiającego Compass.
- CVE-2026-96750Wysokie
MongoDB Compass może interpolować nazwę bazy danych bez eskejpowania do początkowego wejścia wbudowanej powłoki MongoDB, gdy użytkownik otwiera powłokę z widoku tej bazy. Użytkownik z uprawnieniami do tworzenia baz danych na serwerze, do którego łączy się użytkownik Compass, może, w określonych warunkach, spowodować, że treść zostanie oceniona jako wejście powłoki w procesie Compass z jego uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
MongoDB Compass relies on Electron, a third-party runtime that carries its own TLS root certificate store. This root certificate store has the recoverable eMudhra intermediate CA certificates. Issue is resolved by updating to Compass 1.53.1, which includes Electron 44.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS