CVE-2026-120673
ŚrednieCVSS 5.5Streszczenie
Komponent MongoDB Rust Driver rejestrujący dane diagnostyczne może przechwytywać treść poleceń przed zastosowaniem automatycznego szyfrowania pól po stronie klienta. W środowiskach, które włączają opcjonalną funkcję śledzenia wraz z automatycznym szyfrowaniem w użyciu, podmiot mający dostęp do odczytu wyeksportowanych danych śledzenia może uzyskać wartości pól przeznaczonych do szyfrowania bez dostępu do kluczy szyfrujących, co może skutkować nieuprawnionym ujawnieniem danych.
Ocena ryzyka
Osoby mające dostęp do danych śledzenia mogą odczytać wartości pól, które powinny być zaszyfrowane, co prowadzi do wycieku poufnych informacji. Ryzyko występuje, gdy jednocześnie włączone są śledzenie i automatyczne szyfrowanie.
Rekomendacja
Wyłącz opcjonalne śledzenie w MongoDB Rust Driver, jeśli nie jest konieczne, lub zaktualizuj sterownik do wersji z poprawką. Chroń wyeksportowane dane śledzenia przed nieautoryzowanym dostępem.
Inne podatności w MongoDB Rust Driver
Zobacz wszystkie- CVE-2026-88024Wysokie
W komponencie GridFS sterownika MongoDB dla języka Rust występuje nieprawidłowa neutralizacja znaków specjalnych w logice zapytań. Podany przez wywołującego identyfikator pliku może zostać zinterpretowany jako warunek zapytania zamiast jako wartość dosłowna. Uwierzytelniony użytkownik mogący wpłynąć na ten identyfikator może uzyskać dostęp do nieprzeznaczonych plików lub usunąć wszystkie fragmenty plików w danym bucketcie, czyniąc je nieczytelnymi.
- CVE-2026-81526Średnie
MongoDB Rust Driver nie neutralizuje specjalnych znaków w identyfikatorze celu dostarczonym przez wywołującego przed osadzeniem go w żądaniu wysyłanym do serwera. Osoba mogąca wpływać na ten identyfikator może spowodować wykonanie operacji zapisu na niezamierzonym celu w tym samym wdrożeniu.
- CVE-2025-11695Wysokie
Gdy w ciągu połączenia pojawia się tlsInsecure=False, walidacja certyfikatu jest wyłączona. Podatność dotyczy MongoDB Rust Driver w wersjach przed v3.2.5.
Oryginalny opis (angielski, źródło NVD)
A component of the MongoDB Rust Driver that records diagnostic tracing data can capture command content before automatic client-side field level encryption is applied. In deployments that turn on the optional tracing capability together with automatic in-use encryption, a party with read access to the application's exported trace data may obtain field values that the application designated for encryption, without access to the encryption keys. This may result in unintended disclosure of data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS