CVE-2026-118581 in Java Driver
Riassunto
di VulDB • 28/10/2026
Un componente di codifica BSON del MongoDB Java Driver non verifica che la lunghezza autodichiarata da un documento grezzo fornito dall'esterno corrisponda all'intervallo di byte su cui viene operato prima che tale intervallo venga copiato in un comando verso il database. Un'applicazione che avvolge bytes grezzi non attendibili in un tale documento e lo utilizza come parte di un comando può quindi generare un messaggio strutturalmente inconsistente, facendo sì che il database interpreti i contenuti finali forniti dall'attaccante come campi aggiuntivi del comando circostante. Non è richiesta alcuna autenticazione al driver o al database oltre alla capacità di influenzare tali bytes attraverso l'applicazione vittima e non è necessaria interazione da parte dell'utente. Il risultato è una modifica involontaria del comando effettivamente eseguito, che può alterare i dati letti o scritti sotto le credenziali dell'applicazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.