CVE-2026-88024
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W komponencie GridFS sterownika MongoDB dla języka Rust występuje nieprawidłowa neutralizacja znaków specjalnych w logice zapytań. Podany przez wywołującego identyfikator pliku może zostać zinterpretowany jako warunek zapytania zamiast jako wartość dosłowna. Uwierzytelniony użytkownik mogący wpłynąć na ten identyfikator może uzyskać dostęp do nieprzeznaczonych plików lub usunąć wszystkie fragmenty plików w danym bucketcie, czyniąc je nieczytelnymi.
Ocena ryzyka
Atakujący z uprawnieniami użytkownika może odczytać lub zniszczyć dane przechowywane w GridFS, powodując ich nieczytelność oraz naruszając poufność i integralność. Może to prowadzić do utraty danych i zakłócenia działania aplikacji.
Rekomendacja
Zaktualizuj sterownik MongoDB dla języka Rust do wersji zawierającej poprawkę oraz waliduj i normalizuj identyfikatory plików przekazywane do operacji GridFS. Ogranicz możliwość wpływania przez użytkowników na identyfikatory używane w zapytaniach.
Inne podatności w MongoDB Rust Driver
Zobacz wszystkie- CVE-2026-81526Średnie
MongoDB Rust Driver nie neutralizuje specjalnych znaków w identyfikatorze celu dostarczonym przez wywołującego przed osadzeniem go w żądaniu wysyłanym do serwera. Osoba mogąca wpływać na ten identyfikator może spowodować wykonanie operacji zapisu na niezamierzonym celu w tym samym wdrożeniu.
- CVE-2025-11695Wysokie
Gdy w ciągu połączenia pojawia się tlsInsecure=False, walidacja certyfikatu jest wyłączona. Podatność dotyczy MongoDB Rust Driver w wersjach przed v3.2.5.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB Rust Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS