CVE-2026-76797
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Narzędzie MongoSQL Transition Readiness Tool zapisuje nazwy baz danych i kolekcji do generowanych raportów CSV bez neutralizowania początkowych znaków, które aplikacje arkuszowe traktują jako formuły. Użytkownik z uprawnieniami zapisu w klastrze może wybrać nazwę przestrzeni nazw, która później zostanie oceniona jako formuła, gdy operator otworzy wygenerowany raport w aplikacji arkuszowej, co może skutkować niezamierzonym ujawnieniem zawartości raportu lub wykonaniem zewnętrznej treści na stacji roboczej operatora. Wymagane jest wygenerowanie raportu dla dotkniętej przestrzeni nazw i otwarcie go w aplikacji arkuszowej.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwych formuł na komputerze operatora, co może prowadzić do ujawnienia danych lub uruchomienia zewnętrznych treści. Może to skutkować naruszeniem bezpieczeństwa stacji roboczej i poufności danych.
Rekomendacja
Zaleca się aktualizację narzędzia MongoSQL Transition Readiness Tool do wersji zawierającej poprawkę. Należy również unikać otwierania raportów CSV w aplikacjach arkuszowych z włączoną obsługą formuł oraz stosować środki ostrożności, takie jak importowanie danych jako tekst.
Inne podatności w MongoSQL Transition Readiness Tool
Zobacz wszystkie- CVE-2026-76798Średnie
Narzędzie MongoSQL Transition Readiness Tool zapisuje tekst zapytań i nazwy użytkowników odczytane z plików logów BI Connector do generowanego raportu HTML bez kodowania ich dla tego kontekstu wyjściowego. Użytkownik mogący wysyłać zapytania przez BI Connector może wpływać na treść logów tak, aby znaczniki dostarczone w zapytaniu były interpretowane przez przeglądarkę, gdy operator później wygeneruje i otworzy raport, co może ujawnić zalogowany tekst zapytań i nazwy użytkowników innych osób stronie zewnętrznej lub przedstawić operatorowi mylące treści. Wymagane jest wygenerowanie raportu z logów zawierających dotknięte wpisy i otwarcie go w przeglądarce.
- CVE-2026-76794Średnie
Narzędzie MongoSQL Transition Readiness Tool nie koduje wystarczająco metadanych bazy danych przed umieszczeniem ich w generowanym HTML. Użytkownik MongoDB z dostępem do zapisu może wprowadzić spreparowane metadane, które mogą spowodować uruchomienie kodu skryptu, gdy inny użytkownik wygeneruje i otworzy raport, potencjalnie ujawniając zawartość raportu lub zmieniając jego wyświetlanie.
Oryginalny opis (angielski, źródło NVD)
The MongoSQL Transition Readiness Tool writes database and collection names into its generated CSV reports without neutralizing leading characters that spreadsheet applications treat as formulas. A user with write privileges on the cluster can choose a namespace name that is later evaluated as a formula when an operator opens the generated report in a spreadsheet application, which may result in unintended disclosure of report contents or execution of external content on the operator's workstation. Generating a report for the affected namespace and opening it in a spreadsheet application is required.