CVE-2026-81526
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
MongoDB Rust Driver nie neutralizuje specjalnych znaków w identyfikatorze celu dostarczonym przez wywołującego przed osadzeniem go w żądaniu wysyłanym do serwera. Osoba mogąca wpływać na ten identyfikator może spowodować wykonanie operacji zapisu na niezamierzonym celu w tym samym wdrożeniu.
Ocena ryzyka
Może to prowadzić do nieautoryzowanej modyfikacji danych należących do innej logicznej granicy egzekwowanej przez aplikację, co narusza integralność i poufność danych.
Rekomendacja
Zaktualizuj MongoDB Rust Driver do wersji z poprawką. Sanityzuj i waliduj identyfikatory celów pochodzące od użytkownika przed użyciem.
Inne podatności w MongoDB Rust Driver
Zobacz wszystkie- CVE-2026-120673Średnie
Komponent MongoDB Rust Driver rejestrujący dane diagnostyczne może przechwytywać treść poleceń przed zastosowaniem automatycznego szyfrowania pól po stronie klienta. W środowiskach, które włączają opcjonalną funkcję śledzenia wraz z automatycznym szyfrowaniem w użyciu, podmiot mający dostęp do odczytu wyeksportowanych danych śledzenia może uzyskać wartości pól przeznaczonych do szyfrowania bez dostępu do kluczy szyfrujących, co może skutkować nieuprawnionym ujawnieniem danych.
- CVE-2026-88024Wysokie
W komponencie GridFS sterownika MongoDB dla języka Rust występuje nieprawidłowa neutralizacja znaków specjalnych w logice zapytań. Podany przez wywołującego identyfikator pliku może zostać zinterpretowany jako warunek zapytania zamiast jako wartość dosłowna. Uwierzytelniony użytkownik mogący wpłynąć na ten identyfikator może uzyskać dostęp do nieprzeznaczonych plików lub usunąć wszystkie fragmenty plików w danym bucketcie, czyniąc je nieczytelnymi.
- CVE-2025-11695Wysokie
Gdy w ciągu połączenia pojawia się tlsInsecure=False, walidacja certyfikatu jest wyłączona. Podatność dotyczy MongoDB Rust Driver w wersjach przed v3.2.5.
Oryginalny opis (angielski, źródło NVD)
The MongoDB Rust Driver does not neutralize special characters in a caller-supplied target identifier before embedding it in the request it sends to the server. An actor able to influence that identifier in an application using the driver may cause write operations to be applied to an unintended target within the same deployment using the application's own credentials. This may result in unauthorized modification of data belonging to another logical boundary enforced by the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS