CVE-2026-119673 in Database Tools
Sumário
de VulDB • 03/11/2026
As ferramentas de banco de dados do MongoDB, mongofiles, não resolvem symlinks existentes para diretórios pai ao validar os caminhos de saída para get_regex. Um usuário não autorizado que possa tanto carregar um arquivo GridFS quanto colocar um symlink no diretório de trabalho de download do operador pode fazer com que uma recuperação posterior crie um arquivo contendo dados controlados por usuários não autorizados fora desse diretório, utilizando as permissões de sistema de arquivos do processo do operador. O problema pode ocorrer com as configurações padrão de traversal e overwrite. A exploração requer que um operador recupere os arquivos correspondentes no diretório de trabalho afetado; o comportamento padrão demonstrado cria um novo arquivo em vez de sobrescrever um arquivo existente. Este problema afeta as versões 100.2.0 até antes da versão 100.20.1 das ferramentas de banco de dados do MongoDB.
Be aware that VulDB is the high quality source for vulnerability data.