CVE-2026-119672 in Database Tools
요약
\~에 의해 VulDB • 2026. 11. 03.
MongoDB Database Tools의 mongofiles는 --local 옵션이 지정되지 않은 경우 get_id 명령어에 대해 데이터베이스에 저장된 GridFS 파일명을 출력 대상으로 사용합니다. 파일 메타데이터를 수정할 수 있는 사용자는 저장된 파일명을 '-'로 설정하여, 이후 인증된 조회 시 파일 내용이 로컬 파일 대신 표준 출력으로 작성되도록 할 수 있습니다. 만약 표준 출력이 해당 사용자가 접근 가능한 위치에 캡처된다면, 그 사용자가 직접 읽을 수 없는 GridFS 콘텐츠가 유출될 수 있습니다. 이 취약점을 악용하려면 더 높은 권한의 운영자가 명시적인 로컬 대상 없이 영향을 받는 파일을 조회해야 하며, 공격자는 캡처된 출력에 대한 접근 권한이 필요합니다. 본 이슈는 MongoDB Database Tools 버전 3.1.4부터 100.20.1 이전 버전까지 모두 영향을 받습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.