CVE-2026-81528
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W MongoDB C# Driver, ścieżka kodu zastępowania dokumentów pomija walidację nazw elementów/kształtu, którą stosują równoważne ścieżki zapisu. Wartość podana jako zamiennik jest przekazywana do serwera bez neutralizacji specjalnych elementów języka zapytań, co pozwala na interpretację danych jako logiki aktualizacji.
Ocena ryzyka
Aplikacja przekazująca niezaufane, luźno typowane dane jako wartość zastępczą może pozwolić na wykonanie nieautoryzowanych operacji na bazie danych z uprawnieniami aplikacji, co prowadzi do naruszenia integralności danych.
Rekomendacja
Zaktualizuj MongoDB C# Driver do wersji z poprawką, która stosuje odpowiednią walidację. Upewnij się, że wartości zastępcze są silnie typowane i sanityzowane przed użyciem.
Oryginalny opis (angielski, źródło NVD)
A MongoDB C# driver document-replacement code path omits the element-name/shape validation that the equivalent write paths apply, so a value supplied as a replacement is forwarded to the server without neutralization of query-language special elements. An application that passes untrusted, loosely-typed input as a replacement value therefore allows that input to be interpreted by the database as update logic rather than as data, executing under the application's own database credentials. Applications using strongly-typed document mappings are not affected.