CVE-2026-59509
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w cve-search w punkcie końcowym POST /fetch_cve_data pozwala nieuwierzytelnionemu atakującemu na manipulację parametrami żądania, co umożliwia odczyt dowolnych kolekcji MongoDB aplikacji. Atakujący może uzyskać nazwy użytkowników administracyjnych i skróty haseł z kolekcji mgmt_users.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży danych uwierzytelniających administratorów, co może prowadzić do złamania haseł w trybie offline i przejęcia konta administracyjnego, a w konsekwencji do pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować cve-search do najnowszej wersji łatającej tę podatność oraz ograniczyć dostęp do punktu końcowego POST /fetch_cve_data tylko dla zaufanych sieci lub użytkowników.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated improper input validation vulnerability in the POST /fetch_cve_data endpoint in cve-search. A remote attacker can manipulate request parameters controlling the MongoDB collection, projected fields, and regular-expression filters to read arbitrary application MongoDB collections. This can expose administrative usernames and password hashes from the mgmt_users collection, enabling offline password cracking and potential administrative account compromise.