CVE-2026-120567
ŚrednieCVSS 5.4Streszczenie
Dostawca MongoDB Entity Framework Core nie neutralizuje znaków specjalnych, umieszczając wartość dostarczoną przez wywołującego w masowej aktualizacji wyrażonej jako zapytanie do bazy. Wartość podana jako zwykłe dane może zostać zinterpretowana przez bazę jako składnia wyrażenia, powodując niezamierzoną modyfikację pól lub przeniesienie danych do innych pól tego samego rekordu.
Ocena ryzyka
Atakujący może doprowadzić do niezamierzonej modyfikacji lub przemieszczenia danych w rekordach aktualizowanych przez aplikację.
Rekomendacja
Zaktualizuj dostawcę MongoDB Entity Framework Core do wersji zawierającej poprawkę oraz waliduj dane wejściowe przed użyciem w masowych aktualizacjach.
Inne podatności w MongoDB Entity Framework Core provider
Zobacz wszystkie- CVE-2026-92757Średnie
Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które umieszczają nazwę bazy danych w ciągu połączenia, mogą nieumyślnie wyłączyć szyfrowanie na poziomie pól. Może to prowadzić do przechowywania chronionych pól w postaci niezaszyfrowanej.
- CVE-2026-92756Średnie
Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które łączą niezależne ustawienia szyfrowania z ustawieniami szyfrowania tego providera, mogą w sposób cichy utracić ustawienia TLS i mapy schematów. Prowadzi to do przechowywania chronionych pól w bazie danych bez szyfrowania.
Oryginalny opis (angielski, źródło NVD)
The MongoDB Entity Framework Core provider does not neutralize special elements when it places a caller-supplied value into a bulk update that is expressed as a databasea result, a value supplied as plain data may be interpreted by the database as expression syntax. A part value through normal application input may causeunintended modification of fields in the records the application is updating, and may cause data already held in those records to be relocated into other fields of the same record.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS