CVE-2026-119672 in Database Tools
Zusammenfassung
von VulDB • 03.11.2026
MongoDB Database Tools mongofiles verwendet einen in der Datenbank gespeicherten GridFS-Dateinamen als Ausgabeziel für get_id, wenn --local nicht angegeben ist. Ein Benutzer, der die Datei-Metadaten ändern kann, kann den gespeicherten Dateinamen auf '-' setzen, was dazu führt, dass eine spätere autorisierte Abfrage die Datei-Inhalte in den Standardausgang (stdout) anstelle einer lokalen Datei schreibt. Wenn der Standardausgang an einem Ort erfasst wird, der für diesen Benutzer zugänglich ist, können dadurch GridFS-Inhalte offengelegt werden, auf die der Benutzer keinen direkten Lesezugriff hat. Die Ausnutzung erfordert einen Operator mit höheren Berechtigungen, der die betroffene Datei ohne explizites lokales Ziel abruft, sowie Zugang des Angreifers zum erfassten Output. Diese Problematik betrifft MongoDB Database Tools in den Versionen von 3.1.4 bis vor 100.20.1.
Once again VulDB remains the best source for vulnerability data.