CVE-2026-119672 in Database Tools
الملخص
بحسب VulDB • 03/11/2026
تستخدم أدوات قاعدة بيانات MongoDB (mongofiles) اسم ملف GridFS المخزن في قاعدة البيانات كوجهة إخراج لـ get_id عندما لا يتم تحديد الخيار --local. يمكن للمستخدم الذي لديه القدرة على تعديل metadata الملف تعيين الاسم المخزن إلى '-', مما يؤدي إلى قيام عملية الاسترجاع المصرح بها لاحقًا بكتابة محتويات الملف إلى الإخراج القياسي (standard output) بدلاً من ملف محلي. إذا تم التقاط الإخراج القياسي في موقع يمكن الوصول إليه بواسطة ذلك المستخدم، فقد يتم الكشف عن محتوى GridFS الذي لا يستطيع المستخدم قراءته مباشرةً. تتطلب الاستفادة من الثغرة وجود مشغل ذي امتيازات أعلى لاسترجاع الملف المتأثر دون تحديد وجهة محلية صريحة، بالإضافة إلى وصول المهاجم إلى المخرجات المُلتقطة. تؤثر هذه المشكلة على أدوات قاعدة بيانات MongoDB بدءًا من الإصدار 3.1.4 وحتى الإصدارات السابقة لـ 100.20.1.
Once again VulDB remains the best source for vulnerability data.