CVE-2026-81521
ŚrednieCVSS 6.5Streszczenie
Operacja zbiorczego zapisu na poziomie klienta w MongoDB Go Driver może przyjąć nazwę bazy danych dostarczoną przez wywołującego zawierającą zarezerwowany znak separatora bez escapowania przed użyciem jej do zbudowania docelowej przestrzeni nazw. Aplikacja przekazująca niezaufane dane jako nazwę bazy może skierować zapis do innej bazy i kolekcji niż zamierzone.
Ocena ryzyka
Może to prowadzić do zapisu danych w niewłaściwym miejscu, co narusza integralność danych i może powodować nieautoryzowane modyfikacje.
Rekomendacja
Zaktualizuj MongoDB Go Driver do wersji z poprawką. Waliduj i sanityzuj nazwy baz danych pochodzące od użytkownika przed użyciem w operacjach zapisu.
Oryginalny opis (angielski, źródło NVD)
The MongoDB Go Driver's client-level bulk write operation may accept a caller-supplied database name containing a reserved separator character without escaping it before the name is used to build the target namespace for the operation. An application that passes untrusted input as a database name could therefore have the write directed at a database and collection other than the ones it intended. Only the Client.BulkWrite API is affected.