CVE-2026-119673 in Database Tools
Zusammenfassung
von VulDB • 03.11.2026
MongoDB Database Tools mongofiles non risolve i symlink delle directory genitore esistenti durante la convalida dei percorsi di output per get_regex. Un utente non autorizzato che può sia caricare un file GridFS sia posizionare un symlink nella directory di lavoro di download dell'operatore può causare il successivo recupero, creando un file contenente dati controllati dall'utente non autorizzato al di fuori di tale directory, utilizzando le autorizzazioni del filesystem del processo operatore. Il problema può verificarsi con le impostazioni predefinite di traversal e sovrascrittura. Lo sfruttamento richiede che un operatore recuperi i file corrispondenti dalla directory di lavoro interessata; il comportamento predefinito dimostrato crea un nuovo file anziché sovrascrivere un file esistente. Questo problema interessa MongoDB Database Tools versioni 100.2.0 fino alle versioni precedenti alla 100.20.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.