CVE-2026-81521
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Operacja zbiorczego zapisu na poziomie klienta w MongoDB Go Driver może przyjąć nazwę bazy danych dostarczoną przez wywołującego zawierającą zarezerwowany znak separatora bez escapowania przed użyciem jej do zbudowania docelowej przestrzeni nazw. Aplikacja przekazująca niezaufane dane jako nazwę bazy może skierować zapis do innej bazy i kolekcji niż zamierzone.
Ocena ryzyka
Może to prowadzić do zapisu danych w niewłaściwym miejscu, co narusza integralność danych i może powodować nieautoryzowane modyfikacje.
Rekomendacja
Zaktualizuj MongoDB Go Driver do wersji z poprawką. Waliduj i sanityzuj nazwy baz danych pochodzące od użytkownika przed użyciem w operacjach zapisu.
Inne podatności w MongoDB Go Driver
Zobacz wszystkie- CVE-2026-107325Średnie
Nieprawidłowa walidacja długości tablicy BSON w MongoDB Go Driver może spowodować odczyt poza zakresem i panikę w czasie wykonywania, gdy aplikacja wywołuje bson.RawArray.Validate lub bsoncore.Array.Validate na nieprawidłowej czterobajtowej tablicy. Nieuwierzytelniony atakujący, który może dostarczyć surowe dane tablicy BSON do podatnej aplikacji, może zakończyć proces aplikacji, powodując odmowę usługi.
- CVE-2026-107324Średnie
Przepełnienie liczby całkowitej w obsłudze długości wartości BSON w MongoDB Go Driver może spowodować panikę w czasie wykonywania, gdy aplikacja waliduje lub uzyskuje dostęp do nieprawidłowego dokumentu BSON. Nieuwierzytelniony atakujący, który może dostarczyć bajty BSON do podatnej aplikacji, może zakończyć proces aplikacji, powodując odmowę usługi.
- CVE-2026-88031Wysokie
Sterownik MongoDB Go Driver w komponencie GridFS zawiera lukę niewłaściwej neutralizacji elementów specjalnych w logice zapytań, gdzie identyfikator pliku dostarczony przez wywołującego może być zinterpretowany jako warunek zapytania zamiast jako identyfikator. Uwierzytelniony użytkownik mogący wpłynąć na identyfikator może spowodować usunięcie wszystkich fragmentów plików w danym zasobniku.
Oryginalny opis (angielski, źródło NVD)
The MongoDB Go Driver's client-level bulk write operation may accept a caller-supplied database name containing a reserved separator character without escaping it before the name is used to build the target namespace for the operation. An application that passes untrusted input as a database name could therefore have the write directed at a database and collection other than the ones it intended. Only the Client.BulkWrite API is affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS