CVE-2026-119672
ŚrednieCVSS 4.8Streszczenie
Narzędzie MongoDB Database Tools mongofiles używa nazwy pliku GridFS przechowywanej w bazie danych jako miejsca docelowego dla get_id, gdy nie podano --local. Użytkownik mogący modyfikować metadane pliku może ustawić przechowywaną nazwę na '-', powodując zapis zawartości pliku do standardowego wyjścia zamiast do pliku lokalnego. Jeśli standardowe wyjście jest przechwytywane w miejscu dostępnym dla tego użytkownika, może to ujawnić zawartość GridFS, której nie może on odczytać bezpośrednio. Wykorzystanie wymaga operatora o wyższych uprawnieniach do pobrania pliku bez jawnego miejsca docelowego oraz dostępu atakującego do przechwyconego wyjścia. Problem dotyczy MongoDB Database Tools od wersji 3.1.4 do wersji przed 100.20.1.
Ocena ryzyka
Atakujący z możliwością modyfikacji metadanych może spowodować ujawnienie zawartości GridFS, do której normalnie nie ma dostępu, jeśli operator o wyższych uprawnieniach pobierze plik bez miejsca docelowego. Może to naruszyć poufność danych przechowywanych w GridFS.
Rekomendacja
Zaktualizuj MongoDB Database Tools do wersji 100.20.1 lub nowszej. Zawsze podawaj jawne miejsce docelowe --local podczas pobierania plików i ogranicz możliwość modyfikacji metadanych.
Inne podatności w MongoDB Database Tools
Zobacz wszystkie- CVE-2026-119675Wysokie
Narzędzie mongorestore z MongoDB Database Tools nieprawidłowo obsługuje prefiks system.buckets. podczas walidacji nazw kolekcji w niezaufanym zrzucie. Specjalnie spreparowana nazwa kolekcji może ominąć zabezpieczenia kolekcji specjalnych i filtry przestrzeni nazw operatora, powodując utworzenie nieautoryzowanego konta użytkownika w bazie, w tym konta z rolą root.
- CVE-2026-119674Niskie
Narzędzie mongorestore z MongoDB Database Tools nieprawidłowo dekoduje URL oryginalną nazwę kolekcji odczytaną z metadanych, gdy odpowiadająca nazwa pliku zrzutu została obcięta. Użytkownik bazy danych mogący utworzyć i wypełnić odpowiednio zakodowaną kolekcję może spowodować, że późniejsze autoryzowane przywracanie katalogu zapisze dokumenty do innej kolekcji, której nie może modyfikować bezpośrednio; użycie --drop może dodatkowo zastąpić niezamierzoną kolekcję docelową.
- CVE-2026-119673Niskie
Narzędzie mongofiles z MongoDB Database Tools nie rozwiązuje istniejących dowiązań symbolicznych katalogów nadrzędnych podczas walidacji ścieżek wyjściowych dla get_regex. Nieuprawniony użytkownik mogący przesłać plik GridFS i umieścić dowiązanie symboliczne w katalogu roboczym pobierania operatora może spowodować utworzenie pliku z danymi poza tym katalogiem, z uprawnieniami procesu operatora.
Oryginalny opis (angielski, źródło NVD)
MongoDB Database Tools mongofiles uses a database-stored GridFS filename as the output destination for get_id when --local is not specified. A user who can modify the file metadata can set the stored filename to '-', causing a later authorized retrieval to write the file contents to standard output instead of a local file. If standard output is captured in a location accessible to that user, this may disclose GridFS content the user cannot read directly. Exploitation requires a higher-privileged operator to retrieve the affected file without an explicit local destination and attacker access to the captured output. This issue affects MongoDB Database Tools from version 3.1.4 through versions before 100.20.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS