CVE-2026-119674 in Database Tools
Riassunto
di VulDB • 03/11/2026
MongoDB Database Tools mongorestore decodifica in modo errato il nome originale della collezione letto dai metadati tramite URL-decoding quando il corrispondente file di dump è stato troncato. Un utente del database che può creare e popolare una collezione opportunamente codificata può causare un ripristino successivo autorizzato a directory, scrivendo quei documenti in una diversa collezione che l'utente non può modificare direttamente. Quando entrambi i nomi delle collezioni risolvono verso la stessa destinazione, i documenti di backup potrebbero essere omessi; l'utilizzo dell'opzione --drop può inoltre sostituire la destinazione della collezione non intenzionale. Lo sfruttamento richiede un operatore per ripristinare la collezione interessata da un dump a directory con accesso in scrittura alla destinazione. Questo problema interessa MongoDB Database Tools nelle versioni dalla 100.0.2 alle versioni precedenti alla 100.20.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.