جزئیات آسیب‌پذیری
CVE-2026-93758
MongoDB Mongoid
Cross-principal document update, theft, and deletion via unvalidated id in nested attributes
CVSS 4.0
8.6بالا
شرح رسمی (انگلیسی)
An insecure direct object reference in the nested attributes handling of the Mongoid object-document mapper may allow a user with basic application privileges to reference a record identifier that is not their own. Processing such a request can cause that record to be looked up without the usual ownership or scoping restrictions, then updated and linked to the requesting user's own record. This may result in unintended disclosure and unauthorized modification of data belonging to other users of the application.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.6بالا | 4.0 | CVEProject cvelistV5 (CNA) (mongodb) | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
| 8.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (mongodb) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| MongoDB, Inc. | Mongoid | 9.1.0 | CVEProject cvelistV5 (CNA) |
| MongoDB, Inc. | Mongoid | 8.0.0 ≤ v ≤ 8.0.12 | CVEProject cvelistV5 (CNA) |
| MongoDB, Inc. | Mongoid | 8.1.0 ≤ v ≤ 8.1.12 | CVEProject cvelistV5 (CNA) |
| MongoDB, Inc. | Mongoid | 9.0.0 ≤ v ≤ 9.0.11 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۲۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۳۰
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- mongodb
پیش‌بینی بهره‌برداری (EPSS)
۰٫۳۵٪
احتمال بهره‌برداری در ۳۰ روز
۲۹٫۴٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-639Authorization Bypass Through User-Controlled Key