CVE-2026-92757
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które umieszczają nazwę bazy danych w ciągu połączenia, mogą nieumyślnie wyłączyć szyfrowanie na poziomie pól. Może to prowadzić do przechowywania chronionych pól w postaci niezaszyfrowanej.
Ocena ryzyka
Dane, które powinny być chronione przez szyfrowanie na poziomie pól, mogą być przechowywane w bazie danych w postaci jawnej. Może to narazić organizację na naruszenie poufności danych i niezgodność z regulacjami.
Rekomendacja
Sprawdź konfigurację ciągów połączenia i upewnij się, że nazwa bazy danych nie powoduje wyłączenia szyfrowania na poziomie pól. Zaktualizuj MongoDB Entity Framework Core Provider do wersji, która rozwiązuje ten problem.
Inne podatności w MongoDB Entity Framework Core Provider
Zobacz wszystkie- CVE-2026-120567Średnie
Dostawca MongoDB Entity Framework Core nie neutralizuje znaków specjalnych, umieszczając wartość dostarczoną przez wywołującego w masowej aktualizacji wyrażonej jako zapytanie do bazy. Wartość podana jako zwykłe dane może zostać zinterpretowana przez bazę jako składnia wyrażenia, powodując niezamierzoną modyfikację pól lub przeniesienie danych do innych pól tego samego rekordu.
- CVE-2026-92756Średnie
Aplikacje zbudowane na MongoDB Entity Framework Core Provider, które łączą niezależne ustawienia szyfrowania z ustawieniami szyfrowania tego providera, mogą w sposób cichy utracić ustawienia TLS i mapy schematów. Prowadzi to do przechowywania chronionych pól w bazie danych bez szyfrowania.
Oryginalny opis (angielski, źródło NVD)
Applications built on MongoDB Entity Framework Core Provider which place a database name in the connection string may inadvertently disable field level encryption.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS