CVE-2026-93761

Mongoid może pomijać reguły szyfrowania dla pól zadeklarowanych w modelach osadzonych podczas generowania schematu szyfrowania na poziomie pól po stronie klienta. Aplikacje korzystające z tej funkcji mogą zapisywać wartości przeznaczone do zaszyfrowania w formie czytelnej, bez żadnego błędu ani ostrzeżenia.

Awaria mechanizmu ochrony podczas generowania konfiguracji szyfrowania w maperze obiektowo-dokumentowym może powodować, że pola zadeklarowane przez aplikację do szyfrowania na poziomie pól po stronie klienta są zapisywane i przechowywane w postaci jawnej, bez żadnego błędu ani ostrzeżenia.

Mongoid nie ogranicza, które operatory zapytań mogą pochodzić z danych filtrów dostarczonych przez wywołującego, gdy aplikacja przekazuje te dane do metod budujących zapytania. W aplikacji, która przekazuje zewnętrznie dostarczane parametry filtrów w ten sposób, osoba bez poświadczeń może wpływać na sposób oceny zapytania przez bazę danych. Może to prowadzić do niezamierzonego ujawnienia przechowywanych wartości pól oraz do zmniejszenia wydajności bazy danych.

Mongoid nie neutralizuje kryterium zapytania typu string dostarczonego do jego konstruktora zapytań i przekazuje je do bazy danych jako wyrażenie JavaScript po stronie serwera. Nieuwierzytelniona strona, która może wpływać na wartość przekazywaną przez aplikację jako argument zapytania, może spowodować, że kod wybrany przez atakującego zostanie oceniony przez silnik bazy danych. Może to prowadzić do niezamierzonego ujawnienia przechowywanych wartości pól, niezamierzonego wyboru dokumentów dla zapisów inicjowanych przez aplikację oraz zmniejszenia wydajności bazy danych.

Podatność w Mongoid (obiektowo-dokumentowy mapper) dotyczy niebezpiecznego bezpośredniego odwołania do obiektu w obsłudze zagnieżdżonych atrybutów. Użytkownik z podstawowymi uprawnieniami może odwołać się do identyfikatora rekordu, który nie jest jego własnym, co prowadzi do wyszukania rekordu bez zwykłych ograniczeń własności i jego modyfikacji oraz powiązania z rekordem atakującego.

Mongoid zawiera słabość niebezpiecznej refleksji w ścieżce zapytań dla dokumentów osadzonych. Aplikacja przekazująca zewnętrznie dostarczoną nazwę pola do niektórych metod zapytań w pamięci może pozwolić nieuwierzytelnionej stronie na nieautoryzowany odczyt danych i trwałe usunięcie rekordów.

Mongoid zawiera słabość niebezpiecznej refleksji w warstwie trwałości dokumentów. Przekazanie kluczy z danych wejściowych od nieuwierzytelnionej strony może spowodować niezamierzone wywołanie metod wewnętrznych zamiast aktualizacji pola tablicy, co może prowadzić do usunięcia przechowywanych rekordów i braku odpowiedzi aplikacji.