Średni Oczekuje na analizę

CVE-2026-119672

opublikowano: 03.11.2026, 18:18

modyfikacja: 03.11.2026, 21:00

Ocena CVSS

5.9

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Narzędzia bazy danych MongoDB Pliki mongo używają nazwy pliku GridFS przechowywanej w bazie danych jako docelowego miejsca docelowego dla get_id, gdy nie określono opcji --local. Użytkownik, który może modyfikować metadane pliku, może ustawić przechowywaną nazwę pliku na „-”, powodując późniejsze autoryzowane pobieranie i zapisanie zawartości pliku na standardowe wyjście zamiast do pliku lokalnego. Jeśli standardowe wyjście zostanie przechwycone w lokalizacji dostępnej dla tego użytkownika, może to spowodować ujawnienie zawartości GridFS, której użytkownik nie będzie mógł bezpośrednio odczytać. Eksploatacja wymaga, aby operator o wyższych uprawnieniach pobrał plik, którego dotyczy problem, bez wyraźnego lokalnego miejsca docelowego i dostępu osoby atakującej do przechwyconych danych wyjściowych. Ten problem dotyczy narzędzi bazy danych MongoDB od wersji 3.1.4 do wersji wcześniejszych niż 100.20.1.

>_ Słabości (CWE)

CWE-73

>_ Referencje

https://github.com/mongodb/mongo-tools/blob/master/CHANGELOG.md

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve