Podatności MongoSQL Transition Readiness Tool

Narzędzie MongoSQL Transition Readiness Tool zapisuje tekst zapytań i nazwy użytkowników odczytane z plików logów BI Connector do generowanego raportu HTML bez kodowania ich dla tego kontekstu wyjściowego. Użytkownik mogący wysyłać zapytania przez BI Connector może wpływać na treść logów tak, aby znaczniki dostarczone w zapytaniu były interpretowane przez przeglądarkę, gdy operator później wygeneruje i otworzy raport, co może ujawnić zalogowany tekst zapytań i nazwy użytkowników innych osób stronie zewnętrznej lub przedstawić operatorowi mylące treści. Wymagane jest wygenerowanie raportu z logów zawierających dotknięte wpisy i otwarcie go w przeglądarce.

Narzędzie MongoSQL Transition Readiness Tool zapisuje nazwy baz danych i kolekcji do generowanych raportów CSV bez neutralizowania początkowych znaków, które aplikacje arkuszowe traktują jako formuły. Użytkownik z uprawnieniami zapisu w klastrze może wybrać nazwę przestrzeni nazw, która później zostanie oceniona jako formuła, gdy operator otworzy wygenerowany raport w aplikacji arkuszowej, co może skutkować niezamierzonym ujawnieniem zawartości raportu lub wykonaniem zewnętrznej treści na stacji roboczej operatora. Wymagane jest wygenerowanie raportu dla dotkniętej przestrzeni nazw i otwarcie go w aplikacji arkuszowej.

Narzędzie MongoSQL Transition Readiness Tool nie koduje wystarczająco metadanych bazy danych przed umieszczeniem ich w generowanym HTML. Użytkownik MongoDB z dostępem do zapisu może wprowadzić spreparowane metadane, które mogą spowodować uruchomienie kodu skryptu, gdy inny użytkownik wygeneruje i otworzy raport, potencjalnie ujawniając zawartość raportu lub zmieniając jego wyświetlanie.